PHP-packages

Een CSRF-zwakte in contao/core-bundle maakt het mogelijk dat een geauthenticeerde backend-gebruiker onbedoeld staatveranderende backend-acties uitvoert via speciaal samengestelde URLs. Het probleem is opgelost in 5.3.50 en 5.7.12. (CVE-2026-107848, GHSA-9ff2-p842-45wq).

Een cachingfout in contao/core-bundle's TableAccessVoter kan een laaggeprivilegeerde backendgebruiker toegang geven tot tabellen buiten zijn toegewezen modulepermissies; het probleem is verholpen in 5.7.12. (CVE-2026-107851)

Een fout in contao/core-bundle maakt het mogelijk dat niet‑admin backendgebruikers met de preview_link-module tl_preview_link-records kunnen opvragen, ondertekende deel‑URLs van andere gebruikers kunnen verkrijgen en daarmee ongepubliceerde pagina's kunnen bekijken. De leverancier lost dit op in 5.7.12. (Bronnen: 3965, 4166, 8435, 32350)

enshrined/svg-sanitize bevat een stored XSS waarbij een DTD-entiteit de href-validatie kan omzeilen en na serialisatie alsnog een javascript: URL blootlegt. Het probleem is opgelost in 1.0.0. (Bronnen: GHSA, OSV, NVD)

De Contao-zoekmodule kan beschermde paginatitels, URL's en indexfragmenten prijsgeven aan niet-geauthenticeerde bezoekers wanneer contao.search.index_protected van ingeschakeld naar uitgeschakeld wordt gezet. Opgelost in vendor-updates.

Een logische fout in Contao's registratie-module maakt het mogelijk voor ongeauthenticeerde POST-verzoeken om activatiemails herhaaldelijk te laten versturen zonder rate limiting, en daarmee te ontdekken of er een openstaande registratie bestaat. Er zijn vendor-updates beschikbaar.

In Contao kan de ImagesController met een gemanipuleerde padparameter bestanden uit de projectboom retourneren als de bestandsnaam een toegestane afbeeldings‑extensie heeft. Er zijn updates beschikbaar.

In contao/comments-bundle is een stored cross-site scripting-zwakte waardoor een ongeauthenticeerde bezoeker een reactie kan indienen met e‑mail- of website‑metadata die niet voldoende wordt geëncodeerd. Als een backendgebruiker de Comments-module opent, kan kwaadaardige scriptcode in de Contao-backendorigin worden uitgevoerd. Opgelost in de door de leverancier gepubliceerde updates. (Identificatoren: CVE-2026-107845, GHSA-628f-v4f6-p37r, PKSA-c42s-m9fj-8jxw.)

Door case-gevoelige selectie slaat Resolver::processReferences mixed-case attributen zoals xlink:HrEf over, waarna de sanitizer later de naam weer normaliseert en zo een levende nesting-structuur teruggeeft. Een oplossing is beschikbaar in 1.0.0. (CVE-2026-107381, GHSA-m9xh-6747-9r6f)

Een fout in enshrined/svg-sanitize kan libxml-corruptie en het beëindigen van PHP-workers veroorzaken bij het verwerken van speciaal geconstrueerde SVG DTD's; update 1.0.0 is beschikbaar. [Bronnen: 3975,4172,8431,31853]