Hoch

TYPO3 CMS Stores Cleartext Password in User Settings Module

Veröffentlicht: 24.04.2026
Aktualisiert: 11.10.2026 10:22

Problem

The backend user settings module (SetupModuleController) incorrectly conflates entity data (like passwords or email address) with user-interface settings (like theme, display options) when persisting changes. As a result, passwords were stored in cleartext in the uc and user_settings fields of the be_users database table.

The cleartext data was only persisted if users changed their credentials in the backend user settings module when the TYPO3 14.2.0 release was used (not in any other version).

Solution

Update to TYPO3 version 14.3.0 LTS which fixes the problem described.

[!IMPORTANT] Manual actions required

Updating to the patched release does not retroactively clean existing data. It is recommended to execute all User Settings upgrade wizards in the TYPO3 Install Tool, including the dedicated User Settings Scrubbing wizard, which sanitizes the incorrectly persisted cleartext values from the uc and user_settings fields of the be_users table. Additionally, affected backend user accounts should be assigned new passwords.

Admin Tools → Upgrade → Upgrade Wizard → User Settings Scrubbing

Credits

TYPO3 thanks Martin Clewing for reporting this issue, and TYPO3 core team members Oliver Hader, Stefan Bürk and Garvin Hicking for fixing it.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	typo3/cms-backend	>= 14.2.0, < 14.3.0	14.3.0

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-312
Plattform: Composer
Paket: typo3/cms-backend
Veröffentlicht: 24.04.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-xvv6-p4wf-mvx7 - CC BY 4.0

Schwachstellenhistorie: typo3/cms-backend

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (25) im Archiv

Einträge insgesamt: 25
Erste → letzte: 03.2021 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 6
Mittel 16
Niedrig 3

Veröffentlichungen pro Jahr

2021: 2
2022: 12
2023: 0
2024: 2
2025: 4
2026: 5

01.09.2026

TYPO3 CMS - Broken Access Control in Backend and Install Tool

Hoch CVE-2026-19418 >= 13.0.0, < 13.4.34 13.4.34
24.04.2026

TYPO3 CMS Stores Cleartext Password in User Settings Module dieser Eintrag

Hoch · 7.5 CVE-2026-6553 >= 14.2.0, < 14.3.0 14.3.0
20.05.2025

The TYPO3 CMS Backend has Broken Authentication in Backend MFA

Hoch · 7.2 CVE-2025-47941 >= 12.0.0, < 12.4.31, >= 13.0.0, < 13.4.12 12.4.31, 13.4.12
02.05.2022

TYPO3 Backend Command Injection via Shell Metacharacters in Uploaded File Name

Hoch CVE-2009-3631 <= 4.0.13, >= 4.1.0, < 4.1.13, >= 4.2.0, < 4.2.10, >= 4.3alpha1, < 4.3beta2 4.1.13, 4.2.10, 4.3beta2
21.04.2022

TYPO3 SQL injection vulnerability on the backend

Hoch · 8.8 CVE-2010-3662 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1
21.04.2022

TYPO3 Arbitrary Code Execution vulnerability on the backend

Hoch · 8.8 CVE-2010-3663 < 4.1.14, >= 4.2, < 4.2.13, >= 4.3, < 4.3.4, >= 4.4, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden