Sicherheitshinweise
Hier findest du eine Übersicht der Sicherheitslücken, die in Contao bereits gefunden und behoben wurden. Wenn du glaubst ein Sicherheitsproblem in Contao gefunden zu haben, melde es bitte gemäß unserer Sicherheitsrichtlinie.
von Leo Feyer
Cross-Site-Scripting durch SVG-Uploads
Datum
18.03.2025
CVE-ID
CVE-2025-29790
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
4.13.54, 5.3.30, 5.5.6
Sicherheitshinweis
von Leo Feyer
Insert-Tag-Injection in Canonical URLs
Datum
17.09.2024
CVE-ID
CVE-2024-45612
Paket
contao/core-bundle
Betroffene Versionen
>=4.13.0
Gepatchte Versionen
4.13.49, 5.3.15, 5.4.3
Sicherheitshinweis
von Leo Feyer
Directory-Traversal im FileSelector-Widget
Datum
17.09.2024
CVE-ID
CVE-2024-45604
Paket
contao/core-bundle
Betroffene Versionen
<4.13.49
Gepatchte Versionen
4.13.49
Sicherheitshinweis
von Leo Feyer
Remote-Befehlsausführung durch Dateiuploads
Datum
17.09.2024
CVE-ID
CVE-2024-45398
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
4.13.49, 5.3.15, 5.4.3
Sicherheitshinweis
von Leo Feyer
Session-Cookie-Disclosure im Crawler
Datum
09.04.2024
CVE-ID
CVE-2024-28235
Paket
contao/core-bundle
Betroffene Versionen
>=4.9.0
Gepatchte Versionen
4.13.40, 5.3.4
Sicherheitshinweis
von Leo Feyer
Cross-Site-Scripting in der Dateiverwaltung
Datum
09.04.2024
CVE-ID
CVE-2024-28190
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
4.13.40, 5.3.4
Sicherheitshinweis
von Leo Feyer
Insert-Tag-Injection über den Formulargenerator
Datum
09.04.2024
CVE-ID
CVE-2024-28191
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
4.13.40, 5.3.4
Sicherheitshinweis
von Leo Feyer
Remember-Me-Token werden nach einer Passwortänderung nicht gelöscht
Datum
09.04.2024
CVE-ID
CVE-2024-30262
Paket
contao/core-bundle
Betroffene Versionen
<4.13.40
Gepatchte Versionen
4.13.40
Sicherheitshinweis
von Leo Feyer
Unzureichende BBCode-Bereinigung
Datum
09.04.2024
CVE-ID
CVE-2024-28234
Paket
contao/comments-bundle
Betroffene Versionen
>=2.0.0
Gepatchte Versionen
4.13.40, 5.3.4
Sicherheitshinweis
von Leo Feyer
Cross-Site-Scripting in Widgets mit Einheiten
Datum
25.07.2023
CVE-ID
CVE-2023-36806
Paket
contao/core-bundle
Betroffene Versionen
>=4.0.0
Gepatchte Versionen
4.9.42, 4.13.28, 5.1.10
Sicherheitshinweis