Sicherheitshinweise
Hier findest du eine Übersicht der Sicherheitslücken, die in Contao bereits gefunden und behoben wurden. Wenn du glaubst ein Sicherheitsproblem in Contao gefunden zu haben, melde es bitte gemäß unserer Sicherheitsrichtlinie.
2026
von Leo Feyer
Offenlegung vertraulicher Informationen durch einen veralteten Suchindex
Datum
25.08.2026
CVE-ID
CVE-2026-107842
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Unbeschränktes erneutes Versenden von Aktivierungs-E-Mails
Datum
25.08.2026
CVE-ID
CVE-2026-107843
Paket
contao/core-bundle
Betroffene Versionen
>=4.1.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Cross-Site-Request-Forgery bei benutzerdefinierten Backend-Aktionen
Datum
25.08.2026
CVE-ID
CVE-2026-107848
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Path-Traversal im Images-Controller
Datum
25.08.2026
CVE-ID
CVE-2026-107844
Paket
contao/core-bundle
Betroffene Versionen
>=5.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Cross-Site-Scripting im Kommentar-Bundle
Datum
25.08.2026
CVE-ID
CVE-2026-107845
Paket
contao/comments-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Unzureichende Zugriffskontrolle im Vorschau-Links-Modul
Datum
25.08.2026
CVE-ID
CVE-2026-107850
Paket
contao/core-bundle
Betroffene Versionen
>=5.7.1
Gepatchte Versionen
5.7.12
Sicherheitshinweis
von Leo Feyer
Cross-Site-Scripting in den Frontend-Suchergebnissen
Datum
25.08.2026
CVE-ID
CVE-2026-104884
Paket
contao/core-bundle
Betroffene Versionen
>=4.9.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Nicht-Administratoren können sich selbst Berechtigungen erteilen, die sie implizit zu Administratoren machen
Datum
25.08.2026
CVE-ID
CVE-2026-104883
Paket
contao/core-bundle
Betroffene Versionen
>=5.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Unzureichende Zugriffskontrolle im CSV-Import-Wizard
Datum
25.08.2026
CVE-ID
CVE-2026-104882
Paket
contao/core-bundle
Betroffene Versionen
>=5.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis
von Leo Feyer
Unzureichende Zugriffskontrolle im Newsletter-Modul
Datum
25.08.2026
CVE-ID
CVE-2026-104881
Paket
contao/newsletter-bundle
Betroffene Versionen
>=5.0.0
Gepatchte Versionen
5.3.50, 5.7.12
Sicherheitshinweis