CVE-2026-49741
CVE-2026-49741 · TYPO3 CMS - Privilege Escalation & SQL Injection in Form Framework
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Backend users with write access to the form_definition database table were able to directly create, update, or delete form definition records via DataHandler, bypassing the Form Framework's persistence validation and permission checks. This allowed injecting arbitrary form configurations, re-enabling attack vectors originally addressed in TYPO3-CORE-SA-2018-003, including SQL injection and privilege escalation. This issue affects TYPO3 CMS versions 14.0.0-14.3.2.
CVSS 8.7 · Высокий · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Стек: php
Затронутые продукты и версии
typo3 cms
- Версии
- ≥ 14.0.0, < 14.3.3: Затронуто (semver)
Обновитесь до 14.3.3
typo3/cms-core Packagist
- Версии
- v14.0.0
- v14.0.1
- v14.0.2
- v14.1.0
- v14.1.1
- v14.2.0
- v14.3.0
- v14.3.1
- v14.3.2
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 14.0.0, < 14.3.3
Обновитесь до 14.3.3
typo3/cms-form Packagist
- Версии
- v14.0.0
- v14.0.1
- v14.0.2
- v14.1.0
- v14.1.1
- v14.2.0
- v14.3.0
- v14.3.1
- v14.3.2
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 14.0.0, < 14.3.3
Обновитесь до 14.3.3