CVE-2026-109162

Nome do Software Vulnerável e Versões Afetadas TYPO3 CMS versões 14.0.0 a 14.3.8

Descrição Formulários que utilizam elementos FileUpload ou ImageUpload com uma configuração personalizada de saveToFileMount armazenam arquivos enviados na pasta de armazenamento padrão 1:/user upload/ em vez do destino configurado. Isso pode fazer com que arquivos enviados terminem em um armazenamento publicamente acessível, mesmo que um armazenamento restrito e não público tenha sido configurado. Arquivos armazenados dessa forma são servidos diretamente, sem as verificações de acesso aplicadas a armazenamentos não públicos.

Recomendações Atualize o TYPO3 CMS para uma versão posterior à 14.3.8. Como medida de mitigação temporária, evite usar uma configuração personalizada para o parâmetro saveToFileMount em elementos FileUpload ou ImageUpload.