CVE-2026-107845 — XSS in contao/comments-bundle kan backend blootstellen bij weergave van reacties

Wat er is gebeurd

Een ongeauthenticeerde bezoeker kan een reactie indienen waarvan de e‑mail- of website‑metadata door listComments() in comments-bundle/contao/dca/tl_comments.php wordt weergegeven zonder voldoende attribute- en URL‑encoding. Als een backendgebruiker de Comments-module opent, kan die aanvallersgestuurde scriptcode in de Contao‑backendorigin worden uitgevoerd onder de sessie van die gebruiker. Niet-gepubliceerde reacties blijven zichtbaar voor moderators, dus moderatie voorkomt de blootstelling niet. (Bronnen: 3969, 8436, 4164, 32347.)

Technische oorzaak

listComments() in comments-bundle/contao/dca/tl_comments.php behandelt commentaar‑metadata (e‑mail/website) zonder adequate attribute- en URL‑encoding, wat leidt tot een stored cross-site scripting‑probleem (CWE-79). (Bronnen: 3969, 8436, 4164.)

Waarom dit belangrijk is

De kwetsbaarheid maakt het mogelijk dat aanvallersgestuurde code draait binnen de Contao‑backendorigin wanneer een backendgebruiker de Comments‑module bekijkt. De gepubliceerde CVSS v3.1‑score is 9.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N), wat wijst op een hoge ernst met grote impact op vertrouwelijkheid en integriteit als de bug wordt getriggerd. (Bronnen: 32347, 3969, 8436.)

Wie is getroffen

Het probleem treft contao/comments-bundle. De gerapporteerde getroffen bereiken zijn 4.0.0 tot maar niet inclusief 5.3.50, en 5.4.0-RC1 tot maar niet inclusief 5.7.12 (in de bronnen uitgedrukt als >=4.0.0,<5.3.50 en >=5.4.0-RC1,<5.7.12). (Bronnen: 3969, 4164, 8436.)

Ontdekking en tijdlijn

De kwetsbaarheid is gepubliceerd op 2026-10-09 (de advisories en database‑vermeldingen zijn gepubliceerd op 2026-10-09). In de beschikbare bronnen is geen informatie over wie de vondst heeft gedaan opgenomen. (Bronnen: 3969, 4164, 8436, 32347.)

Getroffen en opgeloste versies

De bronnen melden opgeloste releases van contao/comments-bundle: 5.3.50 en 5.7.12. Getroffen reeksen zijn vermeld als >=4.0.0,<5.3.50 en >=5.4.0-RC1,<5.7.12. (Bronnen: 3969, 4164, 8436.)

Oplossingen en mitigatie

Er zijn vendorpatches beschikbaar: de kwetsbaarheid is verholpen in contao/comments-bundle versies 5.3.50 en 5.7.12. De advisories geven expliciet aan dat moderatie geen veilige mitigatie biedt omdat niet‑gepubliceerde reacties zichtbaar blijven voor moderators. Er staan geen aanvullende mitigaties in de bronnen. (Bronnen: 3969, 8436, 4164.)

Aanbevolen actie

Werk contao/comments-bundle bij naar een door de leverancier gepubliceerde opgeloste release (5.3.50 of 5.7.12). Als onmiddellijke update niet mogelijk is, beperk toegang tot de backend Comments‑module totdat u kunt bijwerken en controleer reacties op kwaadaardige inhoud. Controleer ook eventuele eigen integraties op correcte encoding van commentaar‑metadata. (Bronnen: 3969, 8436, 4164.)