Das BSI warnt: TYPO3 hat neue Schwachstellen im Core veröffentlicht. Das Problem betrifft unter anderem den HTML Sanitizer und kann Schutzmechanismen gegen Cross-Site Scripting XSS umgehen. Betroffene Installationen sollten zeitnah aktualisiert werden.
TYPO3 hat mit TYPO3-CORE-SA-2026-006 bis -019 neue Sicherheitshinweise für den Core veröffentlicht. Im Mittelpunkt steht eine Schwachstelle, die als By-passing Cross-Site Scripting Protection in HTML Sanitizer beschrieben wird. Die Sicherheitslücke trägt die Kennung CVE-2026-6553 und wird laut den verfügbaren Einträgen mit einem CVSS-Wert von 7.3 als hoch eingestuft. Das BSI stuft die Schwachstelle in seiner Warnung WID-SEC-2026-1835 allerdings mit einem CVSS Wert von 8.1 etwas gefährlicher ein, da die Experten auch andere Schwachstellen zum gleichen Problem mit in die Bewertung einbeziehen:
- CVE-2026-11607,
- CVE-2026-47343,
- CVE-2026-47344,
- CVE-2026-47345,
- CVE-2026-47346,
- CVE-2026-47347,
- CVE-2026-47348,
- CVE-2026-47349,
- CVE-2026-47350,
- CVE-2026-47352,
- CVE-2026-49738,
- CVE-2026-49740,
- CVE-2026-49741,
- CVE-2026-49742
Fehler in By-passing Cross-Site Scripting Protection
Nach Angaben des TYPO3-Projekts sind die TYPO3 CMS Versionen 10.0.0-10.4.56, 11.0.0-11.5.50, 12.0.0-12.4.45, 13.0.0-13.4.30, 14.0.0-14.3.2 betroffen. Der Fehler liegt im HTML Sanitizer, also in der Komponente, die eigentlich schädliche oder unerwünschte Inhalte beim Verarbeiten von HTML herausfiltern soll. Gelingt es, diese Schutzfunktion zu umgehen, kann eingeschleuster Inhalt im Browser ausgeführt werden.
Für Unternehmen und Betreiber von TYPO3-Websites ist das vor allem deshalb kritisch, weil Cross-Site-Scripting-Angriffe nicht nur die Integrität einer Website betreffen, sondern auch Sitzungen, Benutzerinteraktionen und vertrauenswürdige Inhalte manipulieren können. Je nach Einsatzszenario kann das zur Anzeige schädlicher Inhalte, zur Umleitung von Nutzern oder zum Missbrauch bestehender Sitzungen führen. Gerade bei Content-Management-Systemen ist das Risiko erhöht, weil Inhalte regelmäßig über Redaktions- und Pflegeprozesse in die Website eingebracht werden.
BSI warnt und fordert zum Update auf
Der CERT-Bund hat den Fall mit WID-SEC-2026-1835 aufgegriffen und ordnet TYPO3 damit ebenfalls als sicherheitsrelevant ein. Damit wird das Advisory auch für deutsche Unternehmen und öffentliche Einrichtungen zusätzlich sichtbar, die TYPO3 im produktiven Betrieb einsetzen. Der Hinweis unterstreicht, dass der Fehler nicht als theoretisches Randproblem betrachtet werden sollte, sondern in bestehende Update- und Prüfprozesse aufgenommen werden muss.
Für die Praxis bedeutet das: Betreiber sollten prüfen, ob die genannte TYPO3-Version im Einsatz ist, und die vom TYPO3-Projekt bereitgestellten Aktualisierungen oder Korrekturen zügig einspielen. Wo ein sofortiges Update organisatorisch nicht möglich ist, sollten Änderungen an HTML-Inhalten und redaktionellen Eingaben besonders eng kontrolliert werden. Da der Fehler direkt eine Schutzfunktion gegen XSS umgehen kann, ist eine zeitnahe Absicherung sehr wichtig.
Mehr bei CERT-Bund.de
Über das Bundesamt für Sicherheit in der Informationstechnik (BSI) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cyber-Sicherheitsbehörde des Bundes und Gestalter einer sicheren Digitalisierung in Deutschland. Das Leitbild: Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.