CVE-2026-107848 — Contao: CSRF bij backend-acties

Wat er is gebeurd

Contao's RequestTokenListener valideerde REQUEST_TOKEN alleen voor POST-verzoeken, terwijl de GET-guard alleen werkte wanneer een act-parameter aanwezig was. Backend-acties die via de key-parameter werden aangestuurd, konden daardoor worden uitgevoerd zonder CSRF-token als een geauthenticeerde backend-gebruiker een door een aanvaller gecontroleerde URL opende. De uitvoerbare acties zijn beperkt tot de modules waar die gebruiker toegang toe heeft; de advisories tonen vernietigende of andere staatveranderende acties, niet privilege-escalatie.

Technische oorzaak

De kwetsbaarheid ontstaat door inconsistente toepassing van CSRF-controles: tokenvalidatie werd alleen voor POST toegepast en de GET-guard alleen als een act-parameter aanwezig was. Acties die via een andere parameter (key) werden getriggerd, omzeilden zo de GET-guard en konden statusveranderende backend-operaties uitvoeren zonder REQUEST_TOKEN wanneer een backend-gebruiker een speciaal samengestelde link volgde.

Waarom dit belangrijk is

Als een aanvaller een geauthenticeerde backend-gebruiker ertoe kan brengen een geconstrueerde URL te openen, kunnen binnen het bereik van die gebruiker staatveranderende of destructieve backend-acties worden uitgevoerd. De beschikbare advisories beschrijven dit als een impact op integriteit en noemen geen ongeauthentiseerde toegang of directe privilege-escalatie.

Wie is getroffen

Installaties van contao/core-bundle binnen de kwetsbare reeksen zijn getroffen. De aanvalsvector vereist een geauthenticeerde backend-gebruiker; de acties zijn beperkt tot modules waartoe die gebruiker toegang heeft.

Ontdekking en tijdlijn

De advisories en databasevermeldingen met deze melding verschenen op 2026-10-09 (OSV en GitHub advisories). De NVD-vermelding is ook gepubliceerd en heeft een bewerkingsdatum op 2026-10-09. Raadpleeg de gelinkte advisories voor exacte tijdstempels.

Getroffen versies

De bronnen beschrijven dat contao/core-bundle kwetsbaar is vanaf 4.0.0 tot en met 5.3.50, en vanaf 5.4.0-RC1 tot en met 5.7.12. De leverancier heeft fixes uitgebracht in 5.3.50 en 5.7.12.

Oplossingen en mitigatie

De leverancier heeft fixes beschikbaar gesteld; het probleem is opgelost in 5.3.50 en in 5.7.12. De gepubliceerde advisories geven updates als remediatie. Er worden in de bronvermeldingen geen verdere compenserende mitigaties in detail genoemd.

Aanbevolen actie

Werk getroffen contao/core-bundle-installaties bij naar een van de vaste releases — upgrade naar 5.3.50 of 5.7.12, afhankelijk van uw installatie. Beperk voorafgaand aan of tijdens de uitrol de blootstelling van backend-gebruikers aan onbetrouwbare links waar mogelijk.