Wysoka

TYPO3 CMS Stores Cleartext Password in User Settings Module

Ujawniono: 24.04.2026
Aktualizacja: 11.10.2026 10:22

Problem

The backend user settings module (SetupModuleController) incorrectly conflates entity data (like passwords or email address) with user-interface settings (like theme, display options) when persisting changes. As a result, passwords were stored in cleartext in the uc and user_settings fields of the be_users database table.

The cleartext data was only persisted if users changed their credentials in the backend user settings module when the TYPO3 14.2.0 release was used (not in any other version).

Solution

Update to TYPO3 version 14.3.0 LTS which fixes the problem described.

[!IMPORTANT] Manual actions required

Updating to the patched release does not retroactively clean existing data. It is recommended to execute all User Settings upgrade wizards in the TYPO3 Install Tool, including the dedicated User Settings Scrubbing wizard, which sanitizes the incorrectly persisted cleartext values from the uc and user_settings fields of the be_users table. Additionally, affected backend user accounts should be assigned new passwords.

Admin Tools → Upgrade → Upgrade Wizard → User Settings Scrubbing

Credits

TYPO3 thanks Martin Clewing for reporting this issue, and TYPO3 core team members Oliver Hader, Stefan Bürk and Garvin Hicking for fixing it.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	typo3/cms-backend	>= 14.2.0, < 14.3.0	14.3.0

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-312
Platforma: Composer
Paczka: typo3/cms-backend
Ujawniono: 24.04.2026
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-xvv6-p4wf-mvx7 - CC BY 4.0

Historia podatności: typo3/cms-backend

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (25) w archiwum

Wszystkich wpisów: 25
Pierwsza → ostatnia: 03.2021 09.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 6
Średnia 16
Niska 3

Ujawnienia w latach

2021: 2
2022: 12
2023: 0
2024: 2
2025: 4
2026: 5

01.09.2026

TYPO3 CMS - Broken Access Control in Backend and Install Tool

Wysoka CVE-2026-19418 >= 13.0.0, < 13.4.34 13.4.34
24.04.2026

TYPO3 CMS Stores Cleartext Password in User Settings Module ten wpis

Wysoka · 7.5 CVE-2026-6553 >= 14.2.0, < 14.3.0 14.3.0
20.05.2025

The TYPO3 CMS Backend has Broken Authentication in Backend MFA

Wysoka · 7.2 CVE-2025-47941 >= 12.0.0, < 12.4.31, >= 13.0.0, < 13.4.12 12.4.31, 13.4.12
02.05.2022

TYPO3 Backend Command Injection via Shell Metacharacters in Uploaded File Name

Wysoka CVE-2009-3631 <= 4.0.13, >= 4.1.0, < 4.1.13, >= 4.2.0, < 4.2.10, >= 4.3alpha1, < 4.3beta2 4.1.13, 4.2.10, 4.3beta2
21.04.2022

TYPO3 SQL injection vulnerability on the backend

Wysoka · 8.8 CVE-2010-3662 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1
21.04.2022

TYPO3 Arbitrary Code Execution vulnerability on the backend

Wysoka · 8.8 CVE-2010-3663 < 4.1.14, >= 4.2, < 4.2.13, >= 4.3, < 4.3.4, >= 4.4, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację