Mittel

Contao Vulnerable to Cross-Site Scripting (XSS) through SVG uploads

Veröffentlicht: 18.03.2025
Aktualisiert: 11.10.2026 10:22

Impact

Users can upload SVG files with malicious code, which is then executed in the back end and/or front end.

Patches

Update to Contao 4.13.54, 5.3.30 or 5.5.6.

Workarounds

Remove svg,svgz from the allowed upload file types in the system settings and from contao.editable_files in the config.yaml.

References

https://contao.org/en/security-advisories/cross-site-scripting-through-svg-uploads

For more information

If you have any questions or comments about this advisory, open an issue in contao/contao.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	contao/core-bundle	>= 4.0.0, < 4.13.54, >= 5.3.0, < 5.3.30, >= 5.4.0, < 5.5.6	4.13.54, 5.3.30, 5.5.6

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
Schwäche (CWE): CWE-79
Plattform: Composer
Paket: contao/core-bundle
Veröffentlicht: 18.03.2025
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vqqr-fgmh-f626 - CC BY 4.0

Schwachstellenhistorie: contao/core-bundle

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (40) im Archiv

Einträge insgesamt: 40
Erste → letzte: 12.2019 10.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 4
Hoch 7
Mittel 23
Niedrig 6

Veröffentlichungen pro Jahr

2019: 3
2020: 1
2021: 4
2022: 8
2023: 1
2024: 7
2025: 7
2026: 9

18.03.2025

Contao Vulnerable to Cross-Site Scripting (XSS) through SVG uploads dieser Eintrag

Mittel CVE-2025-29790 >= 4.0.0, < 4.13.54, >= 5.3.0, < 5.3.30, >= 5.4.0, < 5.5.6 4.13.54, 5.3.30, 5.5.6
17.09.2024

Contao affected by remote command execution through file upload

Hoch · 8.3 CVE-2024-45398 >= 4.0.0, < 4.13.49, >= 5.0.0, < 5.3.15, >= 5.4.0, < 5.4.3 4.13.49, 5.3.15, 5.4.3
09.04.2024

Contao: Possible cookie sharing with external domains while checking protected pages for broken links

Hoch · 8.3 CVE-2024-28235 >= 4.9.0, < 4.13.40, >= 5.0.0-RC1, < 5.3.4 4.13.40, 5.3.4
24.05.2022

Contao SQL injection in the file manager

Kritisch · 9.8 CVE-2019-11512 >= 4.1.0, < 4.4.39, >= 4.5.0, < 4.7.5 4.4.39, 4.7.5
24.05.2022

Contao SQL injection in the backend and listing module

Kritisch · 9.8 CVE-2017-16558 >= 4.0.0, < 4.4.8, >= 3.0.0, <= 3.5.30 4.4.8
20.05.2022

Cross site scripting via canonical tag in Contao

Hoch · 7.2 CVE-2022-24899 >= 4.13.0, < 4.13.3 4.13.3
14.05.2022

Contao CSRF Token Bypass

Hoch · 8.8 CVE-2019-10642 >= 4.7.0, < 4.7.3 4.7.3
14.05.2022

Contao Does Not Invalidate Existing Sessions When Password Changes

Kritisch · 9.8 CVE-2019-10641 >= 4.0.0, < 4.4.37, >= 4.5.0, < 4.7.3 4.4.37, 4.7.3
13.05.2022

Contao Core directory traversal vulnerability

Hoch · 8.8 CVE-2017-10993 >= 4.0.0, < 4.4.1 4.4.1
13.05.2022

Contao Does Not Expire Tokens Correctly

Kritisch · 9.8 CVE-2019-10643 >= 4.7.0, < 4.7.3 4.7.3
23.08.2021

Privilege escalation via form generator

Hoch · 8.0 CVE-2021-37627 >= 4.0.0, < 4.4.56, >= 4.5.0, < 4.9.18, >= 4.10.0, < 4.11.7 4.4.56, 4.9.18, 4.11.7
17.12.2019

Unrestricted file uploads in Contao

Hoch · 8.8 CVE-2019-19745 >= 4.0.0, < 4.4.46, >= 4.5.0, < 4.8.6 4.4.46, 4.8.6

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden