Contao: Umgehung der Zugriffskontrolle im Dateimanager bei Mehrfachbearbeitung
Zusammenfassung
Contao-CMS-Versionen vor 5.3.54, 5.7.17 und 6.0.6 erlauben Backend-Benutzern mit eingeschränkten Dateibereichen, über die Mehrfachbearbeitung des Dateimanagers Ordner ausserhalb ihres Bereichs zu verändern. Ein Angreifer mit der Berechtigung protected oder syncExclude kann dafür Ordnerpfade ausserhalb seines Bereichs übermitteln, um geschützte Ordner zu veröffentlichen oder von der DBAFS-Synchronisation auszuschliessen. Dadurch können Dateien öffentlich herunterladbar werden. Ein gültiges Backend-Konto mit diesen Berechtigungen ist erforderlich.
Betroffen
- Contao 4.0.0 vor 5.3.54
- Contao 5.4.0-RC1 vor 5.7.17
- Contao 6.0.0-RC1 vor 6.0.6
- Contao 4.x: Ob die 4.x-Linie diesen Fix erhält, ist unbekannt.
Behoben in
- Contao 5.3.54
- Contao 5.7.17
- Contao 6.0.6
Umgehung
Unbekannt.
Ausnutzung
- Laut aktuellem Kenntnisstand nicht in freier Wildbahn ausgenutzt.
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Contao auf 5.3.54, 5.7.17 oder 6.0.6 (oder neuer) im nächsten Wartungsfenster aktualisieren; Websites mit mehreren Backend-Bearbeitern zuerst priorisieren.
- Bis zur Aktualisierung Backend-Benutzer mit den Berechtigungen protected oder syncExclude prüfen und dort, wo nicht nötig, einschränken.
- Prüfen, ob Ordner ausserhalb der Dateibereiche von Benutzern veröffentlicht oder von der DBAFS-Synchronisation ausgeschlossen wurden.
- Die Herstellerwarnung GHSA-9jfh-v443-w3fj auf Aktualisierungen zur 4.x-Linie prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-9jfh-v443-w3fj github.com
- Contao release 5.3.54 github.com
- Contao release 5.7.17 github.com
- Contao release 6.0.6 github.com
- Fix commit 240e169 github.com
- VulnCheck advisory www.vulncheck.com
- CVE Record CVE-2026-126662 www.cve.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:23.
Referenzen der NVD (9)
- https://github.com/contao/contao/blob/5.3.53/core-bundle/contao/drivers/DC_Folder.php#L1716-L1720
- https://github.com/contao/contao/commit/240e169441796bb703819ee0e22728708f946b70
- https://github.com/contao/contao/commit/a104202df2b532bb64805a0856fc94bb0bddbb66
- https://github.com/contao/contao/commit/c01898f99c5d5af50a227ee85f27270c5427f900
- https://github.com/contao/contao/releases/tag/5.3.54
- https://github.com/contao/contao/releases/tag/5.7.17
- https://github.com/contao/contao/releases/tag/6.0.6
- https://github.com/contao/contao/security/advisories/GHSA-9jfh-v443-w3fj
- https://www.vulncheck.com/advisories/contao-4.0.0-before-5.3.54-5.4.0-before-5.7.17-and-6.0.0-before-6.0.6-fi…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.