PT-2026-47748

CVE-2026-49741

Publicado

2026-06-09

Atualizado

2026-06-16

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas TYPO3 CMS versões 14.0.0 a 14.3.3

Descrição Usuários do backend com acesso de escrita à tabela de banco de dados form definition podem criar, atualizar ou excluir registros de definição de formulário diretamente por meio do DataHandler. Esse processo ignora a validação de persistência e as verificações de permissão do Form Framework, permitindo a injeção de configurações de formulário arbitrárias. Isso pode resultar em injeção de SQL e escalonamento de privilégios.

Recomendações Atualize o TYPO3 CMS para uma versão posterior à 14.3.3.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Oliver Hader

Selçuk Güney

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')