TYPO3 Extensions: Mehrere Schwachstellen
WID-SEC-2026-4053 · première publication 20.10.2026 · mise à jour 21.10.2026 · CVSS 7,5
De quoi il s’agit
TYPO3 ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in TYPO3 Extension ausnutzen, um Dateien zu manipulieren, um Informationen offenzulegen, um einen SQL-Injection Angriff durchzuführen, um einen Cross-Site Scripting Angriff durchzuführen und um Sicherheitsvorkehrungen zu umgehen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Dateien zu manipulieren
- Informationen offenzulegen
- einen SQL-Injection Angriff durchzuführen
- einen Cross-Site Scripting Angriff durchzuführen
- Sicherheitsvorkehrungen zu umgehen
Suis-je concerné ?
Concernés selon le BSI :
- TYPO3 Extension Shop <4.9.4
- TYPO3 Extension Shop <5.21.1
- TYPO3 Extension Shop <6.3.0
- TYPO3 Extension AI Integration <14.0.2
- TYPO3 Extension File Manager <3.1.3
- TYPO3 Extension Fluid Form <5.0.10
- TYPO3 Extension Fluid Form <6.0.6
- TYPO3 Extension Kitodo Presentation <6.0.1
- TYPO3 Extension Kitodo Presentation <7.0.2
- TYPO3 Extension Analytics <1.1.1
- TYPO3 Extension Accessible Form Captcha <5.4.2
- TYPO3 Extension Sgalinski Cookie Consent <7.4.6
et 2 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- TYPO3 Extension Shop 4.9.4
- TYPO3 Extension Shop 5.21.1
- TYPO3 Extension Shop 6.3.0
- TYPO3 Extension AI Integration 14.0.2
- TYPO3 Extension File Manager 3.1.3
- TYPO3 Extension Fluid Form 5.0.10
- TYPO3 Extension Fluid Form 6.0.6
- TYPO3 Extension Kitodo Presentation 6.0.1
- TYPO3 Extension Kitodo Presentation 7.0.2
- TYPO3 Extension Analytics 1.1.1
- TYPO3 Extension Accessible Form Captcha 5.4.2
- TYPO3 Extension Sgalinski Cookie Consent 7.4.6
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
- Typo3 Security Advisory vom 2026-10-19 news.typo3.com
CVE: CVE-2026-112064, CVE-2026-112065, CVE-2026-112066, CVE-2026-112067, CVE-2026-112068, CVE-2026-112069, CVE-2026-112070, CVE-2026-112071, CVE-2026-112237, CVE-2026-112238, CVE-2026-112239, CVE-2026-112240, CVE-2026-113442, CVE-2026-113459, CVE-2026-113468
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.