TYPO3 EXT-SA-2026-011: Faceted Search 扩展多个漏洞 漏洞概述 TYPO3 扩展 "Faceted Search" ( ) 存在多个安全漏洞，包括： XML 外部实体注入 (XXE)：文件索引器在解析 OXML 时未禁用外部实体解析，导致攻击者可通过构造恶意文件读取本地文件或发起出站 HTTP 请求。 信息泄露：索引器接受任意表和字段名，允许后端用户复制敏感数据到搜索索引。 路径遍历：文件索引器未规范化目录路径，允许用户索引服务器文件系统上的任意位置文件。 影响范围 受影响版本：7.0.0、6.0.0、6.6.0、5.6.1 及更低版本 严重程度：中等 CVSS v4.0 评分：AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:N/SC:L/SI:N/SA:N 修复方案 更新扩展至以下版本： 7.0.1 6.6.1 5.6.2 可通过以下链接下载更新： ke_search 7.0.1 ke_search 6.6.1 ke_search 5.6.2 建议用户尽快更新扩展。 参考链接 CVE-2026-46722 CVE-2026-46723 CVE-2026-46724 CVE-611 CWE-668 CWE-27