TYPO3-CORE-SA-2026-008: Broken Access Control in Form Framework 漏洞概述 组件类型: TYPO3 CMS 子组件: Form Framework (ext:form) 发布日期: 2026年6月9日 漏洞类型: 访问控制损坏 严重程度: 高 CVSS评分: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N 参考链接: - CVE-2026-47346 - CWE-178 - CWE-862 影响范围 受影响版本: - 10.0.0-10.4.56 - 11.0.0-11.5.50 - 12.0.0-12.4.45 - 13.0.0-13.4.30 - 14.0.0-14.3.2 问题描述 后端用户具有文件写入权限，能够上传带有混合大小写扩展名的表单定义文件（例如， ），从而绕过Form Framework的上传限制。恶意构造的表单定义文件可用于执行任意SQL语句，允许攻击者通过创建管理员后端用户账户来提升权限。 修复方案 升级到修复了上述问题的TYPO3版本： 10.4.57 ELTS 11.5.51 ELTS 12.4.46 ELTS 13.4.31 LTS 14.3.3 LTS 一般建议 遵循TYPO3安全指南中的建议，并订阅typo3-announce邮件列表。 一般说明 所有与安全相关的代码更改都已标记，以便您可以在我们的审查系统中轻松查找它们。 作者信息 Oliver Hader - TYPO3 GmbH, Hof, Germany - 核心开发者 - 自2005年开始使用TYPO3，2007年成为TYPO3核心团队成员。 - 2014年完成互联网网络科学的研究生硕士学位后，专注于高级Web技术主题的研究。 - 业余时间喜欢骑行穿越霍夫（德国）北部巴伐利亚地区的山地。