Contao: Cross-Site-Scripting im Comments-Bundle
Ein nicht authentifizierter Frontend-Besucher kann einen Kommentar übermitteln, der eine XSS-Injection (Cross-Site-Scripting) enthält. Das Opfer ist jeder Backend-Benutzer, der das Kommentarmodul öffnet; die Moderationsfunktion verhindert diesen Angriff nicht, sondern macht die Exposition unausweichlich. Da im Contao-Backend kein Content-Security-Policy-Header gesendet wird, gibt es keine Gegenmaßnahme gegen den Inline-Handler.
Auswirkungen
Jeder im Internet kann Skripte einschleusen, die im Ursprung des Contao-Backends unter der Sitzung des Benutzers ausgeführt werden, der das Kommentarmodul aufruft – ohne dass ein Klick oder Hover erforderlich ist. Von dort aus agiert die Payload im Backend im Namen dieses Benutzers: Sie kann auf alle Module zugreifen, die dieser erreichen kann, neue Administratorkonten anlegen oder Templates bearbeiten, was in Contao ein dokumentierter Pfad von Backend-Schreibrechten zur Codeausführung ist. Moderation hilft nicht und garantiert sogar die Exposition, da unveröffentlichte Kommentare dennoch gespeichert werden und Moderatoren die Liste öffnen müssen, um sie zu bearbeiten.
Was zu tun ist
Aktualisieren Sie contao/comments-bundle auf die Version 5.3.50, 5.7.12 oder eine neuere Version.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | contao/comments-bundle | >= 4.0.0, < 5.3.50, >= 5.4.0-RC1, < 5.7.12 | 5.3.50, 5.7.12 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N- Schwäche (CWE)
CWE-116, CWE-79- Plattform
- Composer
- Paket
contao/comments-bundle- Veröffentlicht
- 09.10.2026
- Aktualisiert
- 11.10.2026 10:32
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-628f-v4f6-p37r - CC BY 4.0
Schwachstellenhistorie: contao/comments-bundle
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 2
- Erste → letzte
- 04.2024 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 1
- Mittel 1
Veröffentlichungen pro Jahr
- 2024: 1
- 2025: 0
- 2026: 1
-
Contao: Cross-Site-Scripting im Comments-Bundle dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.