Du bist bereits Kunde?
Jetzt anmelden
Du möchtest gerne Kunde werden?
Jetzt trakked testen
Zwölf Schwachstellen werden geschlossen. Drei davon gelten mit 9,0 bis 9,8 von 10 Punkten als kritisch: Sie betreffen die Anmeldung per Passkey auf Websites mit Mitglieder-Login, den Dateimanager im Backend und das Insert-Tag {{figure}}. Wir empfehlen, so schnell wie möglich zu aktualisieren.
Sicherheitslücken geschlossen:
- Persistentes Cross-Site-Scripting in der Dateiverwaltung durch manipulierte Dateinamen (GHSA-xh3r-77ch-frm3)
- NoPrivateNetworkExceptRootPagesHttpClient fixiert die geprüfte IP-Adresse zwischengespeicherter Hosts nicht (GHSA-wvj5-rchg-986m)
- Insert-Tag-Injection im Breadcrumb-Modul auf 404-Seiten (GHSA-6m74-9w88-r3fh)
- Session-Invalidation beim Aktivieren oder Deaktivieren von 2FA (GHSA-5mg3-mv6j-57wc)
- Cross-Site-Scripting im Figure-Insert-Tag (GHSA-pc2r-hvrc-f4v6)
- Unzureichender CSRF-Schutz bei der Backend-Anmeldung (GHSA-rgq4-cg48-xjxj)
- Unzureichende Prüfung des Geltungsbereichs bei der Passkey-Authentifizierung (GHSA-5mw8-wv8h-h6hx)
- Contao-Crawler legt vertrauliche Header offen (GHSA-26h3-f97j-vj85)
- Umgehung der Zugriffskontrolle für Dateifreigaben in DC_Folder::editAll (GHSA-9jfh-v443-w3fj)
- Path-Traversal durch Dekodierung nach der Prüfung im Image-Insert-Tag (GHSA-r7cf-mfp4-r23h)
- Server-side request forgery über nicht validierte RSS-Feed-URLs im Legacy-Modul (GHSA-4mx5-xq7q-77cm)
- HTML-Sanitizer ist anfällig für DOM-Clobbering (GHSA-58r4-2p86-jp4x)
Details zur Sicherheitslücken
Der vollständige Beitrag ist nur für trakked-Kunden sichtbar
Über Contao 6.0
Die erste stabile Version von Contao 6.0 wurde am 26. August 2026 veröffentlicht und wird der Nachfolger von Contao 5.7. Die 6.0 wird bis am 14. Februar 2027 mit Updates versehen und wird danach von Contao 6.1 abgelöst.
