Unzureichende Zugriffskontrolle in den Backend-Votern

Datum: 28.08.2025
CVE-ID: CVE-2025-57758

Der Table-Access-Voter im Backend überprüft nicht, ob ein Benutzer Zugriff auf das dazugehörige Modul hat.

Betroffene Versionen

Contao 5.3 bis 5.3.37
Contao 5.4
Contao 5.5
Contao 5.6 bis 5.6.0

Empfohlene Lösung

Update auf Contao 5.3.38 oder 5.6.1.

Workaround

Verlasse dich nicht nur auf den Voter, sondern prüfe zusätzlich USER_CAN_ACCESS_MODULE.

Mehr Informationen

https://github.com/contao/contao/security/advisories/GHSA-7m47-r75r-cx8v