TYPO3 CMS — exposition potentielle de fichiers téléversés (CVE-2026-109162)

Veille sécuritéCMS & e-commerce

P4Moyenne

Dans TYPO3 CMS, les éléments FileUpload et ImageUpload configurés avec un saveToFileMount personnalisé pouvaient enregistrer les fichiers téléversés dans le stockage par défaut plutôt que dans la destination configurée. Des fichiers destinés à un stockage non public pouvaient ainsi être servis sans les contrôles d’accès de ce stockage ; le paramètre par défaut de saveToFileMount n’est pas concerné.

IdentifiantCVE-2026-109162

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-109162 — NVD

Analyse technique

Les fichiers concernés pouvaient être placés dans 1:/user_upload/ et servis directement, sans les contrôles appliqués aux stockages non publics.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-13 à 10:17:15 UTC, soit 2026-10-13T12:17:15+02:00, dans la période demandée. Le candidat NVD « modified » porte le même horodatage et le même contenu ; aucun changement substantiel distinct n’est établi.

ImpactDes fichiers prévus pour un stockage restreint pouvaient se retrouver dans un stockage public et être accessibles sans les contrôles d’accès correspondants.

Versions affectéesTYPO3 CMS 14.0.0–14.3.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

Publication2026-10-13T12:17:15+02:00

Mise à jour2026-10-13T12:17:15+02:00

Action recommandée

Vérifier si des formulaires utilisent FileUpload ou ImageUpload avec un saveToFileMount personnalisé et mettre à jour TYPO3 vers une version corrigée dès qu’elle est confirmée par l’avis éditeur.

Sources

CVE-2026-109162 — NVD

Priorisation DFS : P4 · 1 source(s).