Contao Comments Bundle: Cross-Site Scripting in Kommentar-Metadaten
Zusammenfassung
Das Contao Comments Bundle kodiert die E-Mail- und Website-Werte von Besucherkommentaren bei der Anzeige im Backend nicht ausreichend. Ein nicht authentifizierter Besucher kann einen Kommentar mit manipulierten Metadaten absenden. Öffnet ein Backend-Benutzer das Kommentarmodul, wird das Skript im Backend-Ursprung von Contao unter der Sitzung dieses Benutzers ausgeführt, was Aktionen wie das Erstellen von Administratoren oder das Bearbeiten von Templates ermöglichen kann. Auch unveröffentlichte Kommentare werden Moderatoren angezeigt, weshalb die Moderation die Gefährdung nicht verhindert.
Betroffen
- Contao 4.0.0 bis unter 5.3.50
- Contao 5.4.0-RC1 (Packagist führt 5.4.0) bis unter 5.7.12
Behoben in
- Contao 5.3.50
- Contao 5.7.12
Es sollte die neueste Version 5.3.x oder 5.7.x verwendet werden.
Umgehung
- Front-End-Kommentare deaktivieren, bis das Update eingespielt ist, wie in der früheren Herstellermitteilung empfohlen.
- Eine andere vom Hersteller freigegebene Massnahme ist nicht bekannt.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Status unbekannt, nicht bestätigt als ausgeschlossen.
- CISA SSVC (laut CNA): Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Contao-Installationen inventarisieren und prüfen, ob das Comments Bundle installiert und die Kommentarfunktion aktiviert ist.
- Auf 5.3.50 oder 5.7.12 oder eine neuere Version aktualisieren. Falls sich die Installation verzögert, Front-End-Kommentare deaktivieren.
- Auf ungepatchten Systemen prüfen, ob Backend-Benutzer seit dem 25. August 2026 das Kommentarmodul geöffnet haben, und kürzlich erstellte Administratorkonten sowie geänderte Templates kontrollieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Contao security advisory GHSA-628f-v4f6-p37r (GitHub) github.com
- Contao fix commit 22505d5 (GitHub) github.com
- Contao release 5.3.50 (GitHub) github.com
- Contao release 5.7.12 (GitHub) github.com
- Contao security advisory: Cross-site scripting in the comments bundle (contao.org) contao.org
- GitHub advisory GHSA-628f-v4f6-p37r github.com
- OSV GHSA-628f-v4f6-p37r osv.dev
- VulDB entry 416002 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.