Niedrig

Contao is vulnerable to cross-site scripting in templates

Veröffentlicht: 25.11.2025
Aktualisiert: 11.10.2026 10:22

Impact

It is possible to inject code into the template output that will be executed in the browser in the front end and back end.

Patches

Update to Contao 4.13.57, 5.3.42 or 5.6.5.

Workarounds

Do not use the affected templates or patch them manually.

Refsources

https://contao.org/en/security-advisories/cross-site-scripting-in-templates

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	contao/core-bundle	>= 4.0.0, < 4.13.57, >= 5.0.0-RC1, < 5.3.42, >= 5.4.0-RC1, < 5.6.5	4.13.57, 5.3.42, 5.6.5

Verweise

CVSS-Wert 3.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE): CWE-79, CWE-87
Plattform: Composer
Paket: contao/core-bundle
Veröffentlicht: 25.11.2025
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-68q5-78xp-cwwc - CC BY 4.0

Schwachstellenhistorie: contao/core-bundle

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (40) im Archiv

Einträge insgesamt: 40
Erste → letzte: 12.2019 10.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 4
Hoch 7
Mittel 23
Niedrig 6

Veröffentlichungen pro Jahr

2019: 3
2020: 1
2021: 4
2022: 8
2023: 1
2024: 7
2025: 7
2026: 9

25.11.2025

Contao is vulnerable to cross-site scripting in templates dieser Eintrag

Niedrig · 3.3 CVE-2025-65961 >= 4.0.0, < 4.13.57, >= 5.0.0-RC1, < 5.3.42, >= 5.4.0-RC1, < 5.6.5 4.13.57, 5.3.42, 5.6.5
17.09.2024

Contao affected by remote command execution through file upload

Hoch · 8.3 CVE-2024-45398 >= 4.0.0, < 4.13.49, >= 5.0.0, < 5.3.15, >= 5.4.0, < 5.4.3 4.13.49, 5.3.15, 5.4.3
09.04.2024

Contao: Possible cookie sharing with external domains while checking protected pages for broken links

Hoch · 8.3 CVE-2024-28235 >= 4.9.0, < 4.13.40, >= 5.0.0-RC1, < 5.3.4 4.13.40, 5.3.4
24.05.2022

Contao SQL injection in the file manager

Kritisch · 9.8 CVE-2019-11512 >= 4.1.0, < 4.4.39, >= 4.5.0, < 4.7.5 4.4.39, 4.7.5
24.05.2022

Contao SQL injection in the backend and listing module

Kritisch · 9.8 CVE-2017-16558 >= 4.0.0, < 4.4.8, >= 3.0.0, <= 3.5.30 4.4.8
20.05.2022

Cross site scripting via canonical tag in Contao

Hoch · 7.2 CVE-2022-24899 >= 4.13.0, < 4.13.3 4.13.3
14.05.2022

Contao CSRF Token Bypass

Hoch · 8.8 CVE-2019-10642 >= 4.7.0, < 4.7.3 4.7.3
14.05.2022

Contao Does Not Invalidate Existing Sessions When Password Changes

Kritisch · 9.8 CVE-2019-10641 >= 4.0.0, < 4.4.37, >= 4.5.0, < 4.7.3 4.4.37, 4.7.3
13.05.2022

Contao Core directory traversal vulnerability

Hoch · 8.8 CVE-2017-10993 >= 4.0.0, < 4.4.1 4.4.1
13.05.2022

Contao Does Not Expire Tokens Correctly

Kritisch · 9.8 CVE-2019-10643 >= 4.7.0, < 4.7.3 4.7.3
23.08.2021

Privilege escalation via form generator

Hoch · 8.0 CVE-2021-37627 >= 4.0.0, < 4.4.56, >= 4.5.0, < 4.9.18, >= 4.10.0, < 4.11.7 4.4.56, 4.9.18, 4.11.7
17.12.2019

Unrestricted file uploads in Contao

Hoch · 8.8 CVE-2019-19745 >= 4.0.0, < 4.4.46, >= 4.5.0, < 4.8.6 4.4.46, 4.8.6

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden