CVE-2026-107843 in Contao
Riassunto
di VulDB • 09/10/2026
Contao è un CMS open source. Dalla versione 4.1.0 fino alle versioni 5.3.50 e 5.7.12, ModuleRegistration::compile() entra nel suo ramo di registrazione secondario in seguito a qualsiasi richiesta POST verso una pagina contenente il modulo di registrazione, senza verificare FORM_SUBMIT né i risultati del captcha precedente resendActivationMail() può quindi invocare OptInToken::send() senza limitazione della frequenza (rate limiting), consentendo ad un attaccante non autenticato di causare l'invio ripetuto di email di attivazione a un indirizzo con una registrazione in sospeso e di determinare se tale registrazione pendente esiste. Il ramo è raggiungibile solo quando reg_activate è abilitato e il target ha una registrazione non confermata e un token opt-in. Questo problema è risolto nelle versioni 5.3.50 e 5.7.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.