TYPO3 Extensions: Mehrere Schwachstellen
WID-SEC-2026-1585 · première publication 19.05.2026 · mise à jour 20.05.2026 · CVSS 9,8
De quoi il s’agit
TYPO3 ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in TYPO3 Extensions ausnutzen, um beliebigen Programmcode auszuführen, um einen SQL-Injection Angriff durchzuführen, um Informationen offenzulegen, und um Sicherheitsvorkehrungen zu umgehen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Programmcode auszuführen
- einen SQL-Injection Angriff durchzuführen
- Informationen offenzulegen
- Sicherheitsvorkehrungen zu umgehen
Suis-je concerné ?
Concernés selon le BSI :
- TYPO3 Extension ceselector <6.0.1
- TYPO3 Extension ceselector <5.0.1
- TYPO3 Extension ceselector <4.0.2
- TYPO3 Extension ceselector <3.0.3
- TYPO3 Extension tt_address <10.0.1
- TYPO3 Extension tt_address <9.1.1
- TYPO3 Extension tt_address <8.1.2
- TYPO3 Extension ke_search <7.0.1
- TYPO3 Extension ke_search <6.6.1
- TYPO3 Extension ke_search <5.6.2
- TYPO3 Extension news <14.0.3
- TYPO3 Extension news <13.0.2
et 6 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- TYPO3 Extension ceselector 6.0.1
- TYPO3 Extension ceselector 5.0.1
- TYPO3 Extension ceselector 4.0.2
- TYPO3 Extension ceselector 3.0.3
- TYPO3 Extension tt_address 10.0.1
- TYPO3 Extension tt_address 9.1.1
- TYPO3 Extension tt_address 8.1.2
- TYPO3 Extension ke_search 7.0.1
- TYPO3 Extension ke_search 6.6.1
- TYPO3 Extension ke_search 5.6.2
- TYPO3 Extension news 14.0.3
- TYPO3 Extension news 13.0.2
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Typo3 Security Advisory vom 2026-05-18 typo3.org
- Typo3 Security Advisory vom 2026-05-18 typo3.org
- Typo3 Security Advisory vom 2026-05-18 typo3.org
- Typo3 Security Advisory vom 2026-05-18 typo3.org
- Typo3 Security Advisory vom 2026-05-18 typo3.org
- Typo3 Security Advisory vom 2026-05-18 typo3.org
CVE: CVE-2026-46721, CVE-2026-46722, CVE-2026-46723, CVE-2026-46724, CVE-2026-46725, CVE-2026-8726, CVE-2026-8727, CVE-2026-8827
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.