Am 9. Juni 2026 hat das TYPO3 Security Team mehrere Sicherheitshinweise veröffentlicht. Einer davon ist für v14-Installationen besonders relevant: TYPO3-CORE-SA-2026-017 beschreibt eine Rechteausweitung mit möglicher SQL-Injection im Form Framework. Die Einstufung lautet „hoch“, die Kennung CVE-2026-49741.
Worum es geht
Backend-Benutzer mit Schreibrechten auf die Tabelle form_definition konnten Formulardefinitionen direkt über den DataHandler anlegen, ändern oder löschen. Damit wurden die Validierung und die Rechteprüfung des Form Frameworks umgangen, und beliebige Formularkonfigurationen ließen sich einschleusen. Laut Advisory öffnete das erneut Angriffswege, die bereits 2018 mit TYPO3-CORE-SA-2018-003 geschlossen worden waren – darunter SQL-Injection und Rechteausweitung.
Betroffene Versionen
- Betroffen: TYPO3 14.0.0 bis 14.3.2
- Behoben in: TYPO3 14.3.3 LTS
- Voraussetzung: ein Backend-Konto mit Schreibzugriff auf
form_definition; eine Interaktion anderer Nutzer ist nicht nötig
Gemeldet wurde die Lücke von Selçuk Güney, behoben von Oliver Hader aus dem Core- und Security-Team.
Warum das über den Einzelfall hinausgeht
Die Lücke zeigt ein Muster, das uns in Audits regelmäßig begegnet: Backend-Gruppen erhalten großzügig Schreibrechte auf Tabellen, die sie für ihre Arbeit gar nicht brauchen. Solange alle Konten vertrauenswürdig sind, fällt das nicht auf. Sobald aber ein Konto kompromittiert ist – etwa durch ein wiederverwendetes Passwort –, entscheidet die Rechtevergabe darüber, wie groß der Schaden werden kann. Das Prinzip der minimalen Rechte ist deshalb keine Formalie. Gerade in gewachsenen Installationen mit vielen Redakteuren, Agenturzugängen und alten Testkonten lohnt sich ein regelmäßiger Blick darauf, wer was darf.
Was heißt das für Ihr Projekt?
Wenn Sie TYPO3 v14 einsetzen, aktualisieren Sie mindestens auf 14.3.3, besser auf den jeweils aktuellen Patch-Stand. Bei Composer-Installationen genügt in der Regel ein Update von typo3/cms-* mit anschließendem Cache-Leeren und einem Blick in den Upgrade-Assistenten. Prüfen Sie außerdem die Backend-Benutzergruppen: Wer muss wirklich Formulardefinitionen bearbeiten? Zusätzlich empfehlen wir Zwei-Faktor-Authentifizierung oder Passkeys für alle Backend-Konten. Und richten Sie einen festen Prozess für Security-Updates ein – Advisories erscheinen regelmäßig, und ein Update ist deutlich günstiger als die Aufarbeitung eines Vorfalls.