Contao: Falsificación de petición en sitios cruzados en acciones personalizadas del backend
RequestTokenListener es el único validador genérico de REQUEST_TOKEN en Contao y solo se ejecuta en solicitudes POST. En las solicitudes GET, la protección es local y declarativa, activándose únicamente cuando está presente un parámetro act. Por lo tanto, cualquier acción del backend invocada a través de un parámetro diferente carece por completo de protección CSRF. Esto constituye una familia de vulnerabilidades en lugar de un fallo aislado.
Impacto
Si un atacante logra que un usuario autenticado en el backend acceda a una URL manipulada, se ejecutan acciones en el backend bajo la identidad de dicho usuario, sin necesidad de token ni confirmación. Debido a que la exposición se deriva del mecanismo de despacho y no de una función de devolución de llamada específica, todas las acciones de tipo key= presentes y futuras heredan esta debilidad.
Límites del alcance:
La víctima debe estar autenticada en el backend y debe cargar la URL; además, las acciones ejecutables están restringidas a los módulos a los que el usuario tiene acceso. No se ha identificado ninguna acción key= que otorgue privilegios; las acciones verificadas modifican el estado o son destructivas en lugar de suponer una escalada de privilegios.
Qué hacer
Actualice contao/core-bundle a la versión 5.3.50, 5.7.12 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | contao/core-bundle | >= 4.0.0, < 5.3.50, >= 5.4.0-RC1, < 5.7.12 | 5.3.50, 5.7.12 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N- Debilidad (CWE)
CWE-352- Plataforma
- Composer
- Paquete
contao/core-bundle- Publicada
- 09.10.2026
- Actualizado
- 11.10.2026 10:31
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-9ff2-p842-45wq - CC BY 4.0
Historial de vulnerabilidades: contao/core-bundle
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 40
- Primera → última
- 12.2019 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 4
- Alta 7
- Media 23
- Baja 6
Divulgaciones por año
- 2019: 3
- 2020: 1
- 2021: 4
- 2022: 8
- 2023: 1
- 2024: 7
- 2025: 7
- 2026: 9
-
Contao: Falsificación de petición en sitios cruzados en acciones personalizadas del backend esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.