TYPO3 File-manager-Erweiterung: SQL-Injection in der Dateisuche
Zusammenfassung
Die Drittanbieter-Erweiterung "File manager" (ameos_filemanager) für TYPO3 escapet Anführungszeichen in der Dateisuche nicht korrekt, sodass ein präparierter Suchbegriff die Datenbankabfrage verändern kann. Ein Angreifer kann dadurch Daten aus der TYPO3-Datenbank auslesen, und jedes durchsuchte Feld ist betroffen. Der Hersteller stuft die Lücke als hoch ein; gemäss dem Herstellervektor ist keine Authentifizierung nötig, ob die verwundbare Suche auf einer Website öffentlich erreichbar ist, muss aber je Standort geprüft werden.
Betroffen
- ameos/ameos_filemanager (TYPO3-Erweiterung "File manager") 0 bis 3.1.2
- Versionen unterhalb 3.1.3 sind betroffen; laut CVE-Eintrag ist die Standardkonfiguration nicht betroffen.
Behoben in
- Version 3.1.3 (verfügbar über den TYPO3-Extension-Manager, Packagist und den TER-Download).
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme; seine einzige Empfehlung ist das Update auf 3.1.3.
- Falls das Update verzögert wird: Suche für anonyme Benutzer einschränken oder deaktivieren, Regeln der Web Application Firewall für den Suchparameter prüfen und sicherstellen, dass das Datenbankkonto von TYPO3 nur die minimal nötigen Rechte hat.
Ausnutzung
- CISA SSVC (via ADP): Ausnutzung none, automatisierbar ja, technische Auswirkung partial.
- Nicht im CISA-KEV-Katalog; HOL meldet keine bekannte Ausnutzung.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept oder Exploit gefunden. Dies ist kein Beleg für deren Fehlen.
- VulDB zeigt ein "0-Day"-Label ohne weitere Angaben, das nicht verifiziert werden konnte.
Unsere Empfehlung
- Alle TYPO3-Installationen inventarisieren und prüfen, ob ameos/ameos_filemanager in Version 3.1.2 oder tiefer installiert ist.
- Auf 3.1.3 aktualisieren und die installierte Version anschliessend bestätigen.
- Bis zum Update die Suche für anonyme Benutzer einschränken und Datenbank- sowie Webprotokolle auf ungewöhnliche Suchanfragen prüfen.
- Prüfen, ob die potenziell betroffenen Datenbankdaten Personendaten enthalten, da dies datenschutzrechtliche Folgen nach DSG und DSGVO haben kann.
- Den NVD-Eintrag, der derzeit auf Deferred steht, und den TYPO3-Advisory auf Änderungen prüfen.
- Die Bewertungen unterscheiden sich je nach Quelle (CVSS 4.0 8.7 gemäss Herstellervektor; VulDB 6.3), daher die Priorisierung des Patches am Expositionsgrad jedes Standorts ausrichten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TYPO3 security advisory TYPO3-EXT-SA-2026-034 typo3.org
- OpenCVE CVE-2026-112238 app.opencve.io
- VulDB 422724 vuldb.com
- HOL Guard CVE-2026-112238 hol.org
- Vulners CNNVD-2026-42450537 vulners.com
- ameos/ameos_filemanager on GitHub github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.