Contao CMS: Path Traversal im Image-Insert-Tag ermöglicht Lesen beliebiger Bilddateien

Zusammenfassung

Contao CMS in den Versionen 4.0.0 bis vor 5.3.54, 5.4.0 bis vor 5.7.17 und 6.0.0 bis vor 6.0.6 enthält eine Path-Traversal-Schwachstelle im Insert-Tag {{image::}}. Ein angemeldeter Content-Editor kann prozentkodierte Sequenzen wie ..%2f verwenden, um die Pfadprüfung zu umgehen, da die Prüfung vor der URL-Dekodierung erfolgt. Das Frontend skaliert und liefert anschliessend Bilddateien ausserhalb des Files-Verzeichnisses aus, sodass ein Angreifer alle Bilder lesen kann, auf die der Webserver-Benutzer Zugriff hat. Es handelt sich ausschliesslich um eine Verletzung der Vertraulichkeit; eine Codeausführung ist nicht möglich.

Betroffen

• Contao 4.0.0 bis vor 5.3.54
• Contao 5.4.0-RC1 bis vor 5.7.17
• Contao 6.0.0-RC1 bis vor 6.0.6
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag ist die Standardkonfiguration nicht betroffen)

Behoben in

• Auf Contao 5.3.54, 5.7.17 oder 6.0.6 aktualisieren, je nach installiertem Zweig.

Umgehung

Unbekannt.

• Keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden. Das Einspielen des Updates ist die empfohlene Massnahme.

Ausnutzung

• Zum Zeitpunkt der Erfassung nicht als aktiv ausgenutzt bekannt.
• Von den geprüften Aggregatoren wurde kein öffentlicher Proof of Concept gemeldet.
• Die CVE wurde am 11. Nov 2026 veröffentlicht, daher kann sich dieser Status rasch ändern.

Unsere Empfehlung

• Contao auf 5.3.54, 5.7.17 oder 6.0.6 aktualisieren; zuerst öffentlich erreichbare Websites und Websites mit vielen Editor-Konten priorisieren.
• Content-Editor-Konten jetzt prüfen und nicht benötigte Konten bis zum Update entfernen.
• Die Herstellerwarnung GHSA-r7cf-mfp4-r23h für die endgültigen Details prüfen.
• Auch ältere 5.x-Installationen aktualisieren, da eine separate, nicht authentifizierte Path-Traversal-Lücke im Images-Controller in 5.3.50 und 5.7.12 behoben wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-126663 www.cve.org
• GitHub Security Advisory GHSA-r7cf-mfp4-r23h github.com
• Contao 5.3.54 Release github.com
• Contao 5.7.17 Release github.com
• Contao 6.0.6 Release github.com
• Fix commit 0f7989eb github.com
• VulnCheck Advisory www.vulncheck.com
• Vulnerable code LegacyInsertTag.php (5.3.53) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:37.