TYPO3 CMS Form Framework 权限提升与SQL注入漏洞通告 (CVE-2026-49741)

漏洞概述 漏洞名称: TYPO3-CORE-SA-2026-017: Privilege Escalation & SQL Injection in Form Framework 发布日期: 2026年6月9日 漏洞类型: 权限提升 & SQL注入 严重程度: 高 受影响版本: 14.0.0-14.3.2 建议CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N 参考链接: CVE-2026-49741, CWE-83, CWE-862 影响范围 后端用户如果拥有对 数据库表的写入权限，可以直接创建、更新或删除表单定义记录，通过 绕过表单框架的持久化验证和权限检查。这允许注入任意表单配置，重新启用原始在 中解决的攻击向量，包括SQL注入和权限提升。 修复方案 升级到 TYPO3 版本 14.3.3 LTS，该版本修复了上述问题。 其他信息 问题描述: 后端用户通过 绕过表单框架的持久化验证和权限检查，导致SQL注入和权限提升。 解决方案: 升级到 TYPO3 14.3.3 LTS。 致谢: 感谢 Selçuk Güney 报告此问题，以及 TYPO3 核心和安全团队成员 Oliver Hader 修复此问题。 一般建议: 遵循 中的建议，并订阅 邮件列表。 一般说明: 所有与安全相关的代码更改都进行了标记，以便在 中轻松查找。 作者信息 作者: Oliver Hader 职位: TYPO3 核心开发者 公司: TYPO3 GmbH, Hof, Germany 简介: Oliver 自2005年开始使用 TYPO3，2007年成为 TYPO3 核心团队成员。2014年重返大学攻读互联网网络科学的研究生学位，目前研究高级网络技术，特别是针对 TYPO3。业余时间喜欢骑行。 页脚信息 版权: © 2026 TYPO3 Association 法律声明: Legal Notice, Privacy Policy 标语: Open. Sustainable. A Digital Public Good. 语言选择: Language

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

TYPO3 CMS Form Framework 权限提升与SQL注入漏洞通告 (CVE-2026-49741)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！