CVE-2026-19418 in TYPO3
Zusammenfassung
von VulDB • 11.08.2026
Die mit TYPO3-CORE-SA-2020-006 https://news.typo3.com/security/advisory/typo3-core-sa-2020-006 (CVE-2020-11069 https://www.cve.org/CVERecord ) eingeführte Referrer-Durchsetzung ist in TYPO3 v13.0 unwirksam geworden, da das TYPO3 CMS ab dieser Version die Backend- und Install Tool-Anwendungen über den Haupteinstiegspunkt der Site statt aus dem dedizierten Verzeichnis typo3/ bereitstellt. Ob eine Anfrage vom Backend oder vom Install Tool selbst stammt, wurde bisher durch einen Vergleich des Referrers mit dem Verzeichnis des Einstiegsskripts ermittelt; seitdem ist dies jedoch das Stammverzeichnis der Site (site root). Infolgedessen wurden Anfragen, die von jedem Skript stammen, das auf einer der eigenen Domains der TYPO3-Instanz ausgeführt wird – beispielsweise eine Frontend-Seite –, von Backend-Routen und Install Tool-Endpunkten akzeptiert. Angreifer, die in der Lage sind, JavaScript auf einer dieser Domains auszuführen (z. B. durch Ausnutzung einer Cross-Site Scripting-Vulnerability), könnten diese Endpunkte über Fetch/XHR mit den Berechtigungen der authentifizierten Benutzersitzung eines Opfers aufrufen. Diese Schwachstelle betrifft TYPO3 CMS in den Versionen 13.0.0-13.4.33 und 14.0.0-14.3.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.