TYPO3: Deserialisierung im Mail-Spool erlaubt PHP-Codeausfuehrung

Beschreibung

Ein Deserialisierungsfehler im Mail-File-Spool von TYPO3 erlaubt lokalen Benutzern mit Schreibzugriff auf das Spool-Verzeichnis, eine praeparierte Datei zu hinterlegen, die beim Befehl mailer:spool:send deserialisiert wird, und so beliebigen PHP-Code auf dem Webserver auszufuehren. Betroffen sind TYPO3 CMS 10.0.0-10.4.54, 11.0.0-11.5.48, 12.0.0-12.4.40, 13.0.0-13.4.22 und 14.0.0-14.0.1. CVSS-Basiswert: 7.8 (Hoch).

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in TYPO3 (DACH)

• Fehlende Autorisierungsprüfungen im Backend-Routing von TYPO3 CMS CVE-2025-59017
• TYPO3 CMS: Löschen beliebiger Datenbankdaten über das Recycler-Modul CVE-2025-59022
• TYPO3: CSRF in der Backend-Oberflaeche über Deep Links CVE-2024-55924
• TYPO3 CMS – Klartextpasswort in Datenbankfeldern gespeichert CVE-2026-6553
• TYPO3 – CSRF in der Backend-Oberfläche über Deep Links CVE-2024-55921
• TYPO3: Rechteausweitung zu System-Maintainer für Backend-Administratoren CVE-2025-47940