Pro-Tipp: Das Menü kann auch durch Drücken der Taste m geöffnet bzw. geschlossen werden.

Sicherheitshinweise

Hier findest du eine Übersicht der Sicherheitslücken, die in Contao bereits gefunden und behoben wurden. Wenn du glaubst ein Sicherheitsproblem in Contao gefunden zu haben, melde es bitte gemäß unserer Sicherheitsrichtlinie.

Session-Cookie-Disclosure im Crawler

09.04.2024 07:16 von Leo Feyer

Datum: 09.04.2024
CVE-ID: CVE-2024-28235

Wenn der Crawler so eingestellt ist, dass er geschützte Seiten crawlt, sendet er den Cookie-Header an externe URLs.

Weiterlesen … Session-Cookie-Disclosure im Crawler

Cross-Site-Scripting in der Dateiverwaltung

09.04.2024 07:15 von Leo Feyer

Datum: 09.04.2024
CVE-ID: CVE-2024-28190

Benutzer können beim Hochladen von Dateien bösartigen Code in Dateinamen einfügen, der dann in Tooltips und Popups im Backend ausgeführt wird.

Weiterlesen … Cross-Site-Scripting in der Dateiverwaltung

Insert-Tag-Injection über den Formulargenerator

09.04.2024 07:14 von Leo Feyer

Datum: 09.04.2024
CVE-ID: CVE-2024-28191

Es ist möglich, Insert-Tags über den Formulargenerator einzuschleusen, wenn die übermittelten Formulardaten auf eine bestimmte Weise auf der Seite ausgegeben werden.

Weiterlesen … Insert-Tag-Injection über den Formulargenerator

Remember-Me-Token werden nach einer Passwortänderung nicht gelöscht

09.04.2024 07:13 von Leo Feyer

Datum: 09.04.2024
CVE-ID: CVE-2024-30262

Wenn ein Frontend-Mitglied sein Passwort ändert, werden die dazugehörigen Remember-me-Token nicht gelöscht.

Weiterlesen … Remember-Me-Token werden nach einer Passwortänderung nicht gelöscht

Unzureichende BBCode-Bereinigung

09.04.2024 07:12 von Leo Feyer

Datum: 09.04.2024
CVE-ID: CVE-2024-28234

Wenn BBCode für Kommentare aktiviert ist, können Benutzer damit CSS-Stile einschleusen.

Weiterlesen … Unzureichende BBCode-Bereinigung

Cross-Site-Scripting in Widgets mit Einheiten

25.07.2023 09:00 von Leo Feyer

Datum: 25.07.2023
CVE-ID: CVE-2023-36806

Im Backend angemeldete Benutzer können Schadcode in Widgets mit Einheiten einschleusen.

Weiterlesen … Cross-Site-Scripting in Widgets mit Einheiten

Directory-Traversal in der Dateiverwaltung

25.04.2023 11:03 von Leo Feyer

Datum: 25.04.2023
CVE-ID: CVE-2023-29200

Im Backend angemeldete Benutzer können in der Dateiverwaltung Dateien außerhalb des Document-Root auflisten.

Weiterlesen … Directory-Traversal in der Dateiverwaltung

Cross-Site-Scripting mittels Canonical-URL

05.05.2022 08:18 von Leo Feyer

Datum: 05.05.2022
CVE-ID: CVE-2022-24899

Nicht vertrauenswürdige Benutzer können Schadcode in das Canonical-Tag einschleusen, der dann auf der Webseite (Frontend) ausgeführt wird.

Weiterlesen … Cross-Site-Scripting mittels Canonical-URL

Rechteausweitung mit dem Formulargenerator

11.08.2021 11:09 von Leo Feyer

Datum: 11.08.2021
CVE-ID: CVE-2021-37627

Nicht vertrauenswürdige Benutzer können mit dem Formulargenerator Administratorrechte erhalten.

Weiterlesen … Rechteausweitung mit dem Formulargenerator

PHP-File-Inclusion durch Insert-Tags

11.08.2021 10:56 von Leo Feyer

Datum: 11.08.2021
CVE-ID: CVE-2021-37626

Nicht vertrauenswürdige Benutzer können beliebige PHP-Dateien mittels Insert-Tags laden.

Weiterlesen … PHP-File-Inclusion durch Insert-Tags

Archiv

Abonnieren