Contao zoekindex-lek — CVE-2026-107842

Wat is er gebeurd

ModuleSearch in Contao kan beschermde paginatitels, URL's en contextfragmenten uit de index aan niet-geauthenticeerde bezoekers tonen wanneer de instelling contao.search.index_protected wordt gewijzigd van ingeschakeld naar uitgeschakeld. Het probleem onthult zoekmetadata en geïndexeerde tekst, en omzeilt niet rechtstreeks de paginatoegangscontroles. (Bronnen: 3964, 4170, 8440, 32344)

Technische oorzaak

Autorisatiemetagegevens voor zoekrijen worden per rij opgeslagen in tl_search. Het uitschakelen van contao.search.index_protected verwijdert de filter voor beschermde rijen uit zoekopdrachten, maar verwijdert de rijen die eerder zijn geïndexeerd terwijl bescherming aanstond niet. Omdat beschermde pagina's nog steeds een autorisatieantwoord opleveren, leidt dit tot blootstelling van zoekmetadata en fragmenten uit de index, niet tot directe omzeiling van toegangscontrole. (Bronnen: 3964, 4170, 8440)

Waarom dit belangrijk is

Anonieme bezoekers kunnen paginatitels, URL's en delen van de geïndexeerde inhoud van pagina's zien die eigenlijk beschermd horen te blijven. De kwetsbaarheid heeft een CVSS 3.1 basiscore van 5.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N). De PatchWire-prioriteitsscore is 3.7; bij die score tellen met name het feit dat de fout extern en zonder authenticatie kan worden geactiveerd en dat geen gebruikersinteractie nodig is. (Bronnen: 3964, 32344)

Wie is getroffen

Installaties van contao/core-bundle waarvoor contao.search.index_protected was ingeschakeld en later is uitgeschakeld lopen risico. De advisering vermeldt de getroffen bereiken voor contao/core-bundle als versies vanaf 4.0.0 tot 5.3.50 en vanaf 5.4.0-RC1 tot 5.7.12 (zie 'Getroffene versies'). Controleer of uw geïnstalleerde pakket binnen deze bereiken valt. (Bronnen: 3964, 4170, 8440)

Ontdekking en tijdlijn

De advisering is gepubliceerd op 2026-10-09; vermeldingen van deze kwetsbaarheid verschijnen die datum in OSV, GitHub Advisory Database / Packagist Security Advisories en NVD. (Bronnen: 3964, 4170, 8440, 32344)

Getroffen en opgeloste versies

De advisering geeft voor contao/core-bundle de volgende getroffen bereiken: >= 4.0.0, < 5.3.50 en >= 5.4.0-RC1, < 5.7.12. De leverancier heeft fixes uitgebracht in 5.3.50 en 5.7.12. Controleer uw geïnstalleerde pakket aan de hand van deze bereiken. (Bronnen: 3964, 4170, 8440)

Oplossingen en mitigatie

Er is een fix van de leverancier beschikbaar. De advisering noemt 5.3.50 en 5.7.12 als opgeloste versies voor contao/core-bundle. In de aangeleverde adviseringstekst staan geen extra mitigatiestappen van de leverancier. (Bronnen: 3964, 8440)

Aanbevolen actie

Werk contao/core-bundle bij naar een van de door de leverancier aangegeven opgeloste versies (5.3.50 of 5.7.12). Als u contao.search.index_protected van ingeschakeld naar uitgeschakeld hebt gewijzigd, controleer of uw installatie binnen de genoemde getroffen bereiken valt. (Bronnen: 3964, 8440)