Am 25.08.2026 hat Contao elf Sicherheitsupdates veröffentlicht. Die Updates stehen ausschließlich für Contao 5.3 und 5.7 bereit. Empfohlen wird ein Update auf Contao 5.3.50 beziehungsweise Contao 5.7.12.

• Cross-Site-Request-Forgery bei benutzerdefinierten Backend-Aktionen
  Betroffen: Contao 4.0 bis 4.13 sowie Contao 5.0 bis 5.7.11.
• Offenlegung vertraulicher Informationen durch einen veralteten Suchindex
  Betroffen: Contao 4.0 bis 4.13 sowie Contao 5.0 bis 5.7.11.
• Cross-Site-Scripting im Kommentar-Bundle
  Betroffen: Contao 4.0 bis 4.13 sowie Contao 5.0 bis 5.7.11.
• Unbeschränktes erneutes Versenden von Aktivierungs-E-Mails
  Betroffen: Contao 4.1 bis 4.13 sowie Contao 5.0 bis 5.7.11.
• Cross-Site-Scripting in den Frontend-Suchergebnissen
  Betroffen: Contao 4.9 bis 4.13 sowie Contao 5.0 bis 5.7.11.
• Unzureichende Zugriffskontrolle im CSV-Import-Wizard
  Betroffen: Contao 5.0 bis 5.7.11.
• Path-Traversal im Images-Controller
  Betroffen: Contao 5.0 bis 5.7.11.
• Unzureichende Zugriffskontrolle im Newsletter-Modul
  Betroffen: Contao 5.0 bis 5.7.11.
• Nicht-Administratoren können sich selbst Berechtigungen erteilen, die sie implizit zu Administratoren machen
  Betroffen: Contao 5.0 bis 5.7.11.

Auch ältere Contao-Versionen betroffen!

Bei vier Sicherheitslücken sind auch ältere Contao-Versionen betroffen. Für diese nicht mehr unterstützten Versionen werden keine Sicherheitsupdates mehr bereitgestellt. Darum sollte umgehend auf eine aktuelle LTS-Version (Contao 5.3 oder 5.7) aktualisiert werden.

Zwei Sicherheitsupdates betreffen ausschließlich Contao 5.7

• Unzureichende Zugriffskontrolle im Vorschau-Links-Modul
  Betroffen: Contao 5.7.1 bis 5.7.11.
• Unzureichende Zugriffskontrolle im Table-Access-Voter
  Betroffen: Contao 5.7 bis 5.7.11.

Das Update auf Contao 5.7.12 schließt diese Sicherheitslücken.

Alle Betreiber von Contao-Websites sollten die Updates für die Versionen 5.3 und 5.7 sofort einspielen, um ihre Systeme zu schützen.

Mehr Informationen: Contao-Sicherheitshinweise