Du bist bereits Kunde?
Jetzt anmelden
Du möchtest gerne Kunde werden?
Jetzt trakked testen
Dieses Sicherheitsrelease behebt elf Schwachstellen. Zwei davon sind mit je 9,0 von 10 Punkten als kritisch eingestuft und betreffen Cross-Site-Scripting in der Dateiverwaltung und im Insert-Tag {{figure}}. Ein zeitnahes Update wird empfohlen.
Sicherheitslücken geschlossen:
- Persistentes Cross-Site-Scripting in der Dateiverwaltung durch manipulierte Dateinamen (GHSA-xh3r-77ch-frm3)
- NoPrivateNetworkExceptRootPagesHttpClient fixiert die geprüfte IP-Adresse zwischengespeicherter Hosts nicht (GHSA-wvj5-rchg-986m)
- Insert-Tag-Injection im Breadcrumb-Modul auf 404-Seiten (GHSA-6m74-9w88-r3fh)
- Session-Invalidation beim Aktivieren oder Deaktivieren von 2FA (GHSA-5mg3-mv6j-57wc)
- Cross-Site-Scripting im Figure-Insert-Tag (GHSA-pc2r-hvrc-f4v6)
- Unzureichender CSRF-Schutz bei der Backend-Anmeldung (GHSA-rgq4-cg48-xjxj)
- Contao-Crawler legt vertrauliche Header offen (GHSA-26h3-f97j-vj85)
- Umgehung der Zugriffskontrolle für Dateifreigaben in DC_Folder::editAll (GHSA-9jfh-v443-w3fj)
- Path-Traversal durch Dekodierung nach der Prüfung im Image-Insert-Tag (GHSA-r7cf-mfp4-r23h)
- Server-side request forgery über nicht validierte RSS-Feed-URLs im Legacy-Modul (GHSA-4mx5-xq7q-77cm)
- HTML-Sanitizer ist anfällig für DOM-Clobbering (GHSA-58r4-2p86-jp4x)
Details zur Sicherheitslücken
Der vollständige Beitrag ist nur für trakked-Kunden sichtbar
Über Contao 5.3 LTS
Die erste stabile Version von Contao 5.3 wurde am 16. Februar 2024 veröffentlicht und löst Contao 4.13 als Version mit verlängertem Supportzeitraum ab. Als LTS-Versionen wird die 5.3 bis am 14. Februar 2027 mit Bugfixes versorgt und bis am 14. Februar 2028 mit sicherheitsrelevanten Updates. Contao 5.7 ist die nächste LTS-Version von Contao und ist im Februar 2026 erschienen und gewährleistet so, einen stressfreien Übergang.
