CVE-2024-45398

highPriorität · verfolgen · 35EPSS 0.005 · 45. PerzentilDEEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.53% (45th) EPSS

CVSS 8.8 · high

Is it mine?

15 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · cert_bund · nvd

EPSS · bewertet 2026-10-27

Contao is an Open Source CMS. In affected versions a back end user with access to the file manager can upload malicious files and execute them on the server. Users are advised to update to Contao 4.13.49, 5.3.15 or 5.4.3. Users unable to update are advised to configure their web server so it does not execute PHP files and other scripts in the Contao file upload directory.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.18.8highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 5.9

v3.18.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Lsecondary · ENISA EU

v3.18.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Lsecondary · security-advisories@github.comAusnutzbarkeit 2.8 · Auswirkung 5.5

v3.18.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Lsecondary · OSV

v3.18.1highCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-434USCWE-434US

betroffene Produkte (15)

Betroffene Produkte und Versionsbereiche.

Open Source Contao <4.13.49alle Versionencert_bundDE
Open Source Contao <5.3.15alle Versionencert_bundDE
Open Source Contao <5.4.3alle Versionencert_bundDE
Open Source Contao< 4.13.49cert_bundDE
Open Source Contao< 5.3.15cert_bundDE
Open Source Contao< 5.4.3cert_bundDE
contao contao4.0.0, → 4.13.49enisa_euvdEU
contao contao5.0.0, → 5.3.15enisa_euvdEU
contao contao5.4.0, → 5.4.3enisa_euvdEU
contao contao4.0.0 → 4.13.49nvdUScpe:2.3:a:contao:contao:*:*:*:*:*:*:*:*
contao contao5.0.0 → 5.3.15nvdUScpe:2.3:a:contao:contao:*:*:*:*:*:*:*:*
contao contao5.4.0 → 5.4.3nvdUScpe:2.3:a:contao:contao:*:*:*:*:*:*:*:*
Packagist contao/core-bundle4.0.0 → 4.13.49osvUSpkg:composer/contao/core-bundle
Packagist contao/core-bundle5.0.0 → 5.3.15osvUSpkg:composer/contao/core-bundle
Packagist contao/core-bundle5.4.0 → 5.4.3osvUSpkg:composer/contao/core-bundle

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-2152Contao: Mehrere SchwachstellenDeutsch2024-09-16csaf · cert_bundDE
Ein entfernter Angreifer kann mehrere Schwachstellen in Contao ausnutzen, um beliebigen Code auszuführen oder vertrauliche Informationen offenzulegen.
GHSA-vm6r-j788-hjh5Contao affected by remote command execution through file upload2024-09-17ghsa · osvUS
### Impact Back end users with access to the file manager can upload malicious files and execute them on the server. ### Patches Update to Contao 4.13.49, 5.3.15 or 5.4.3. ### Workarounds Configure your web server so it does not execute PHP files and other scripts in the Contao file upload directory. ### References https://contao.org/en/security-advisories/remote-command-execution-through-file-uploads ### For more information If you have any questions or comments about this advisory, open an issue in [contao/contao](https://github.com/contao/contao/issues/new/choose). ### Credits Thanks to Jakob Steeg from usd AG for reporting this vulnerability.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund nvd osv NVD CVE.org MITRE

veröffentlicht 2024-09-17geändert 2026-06-17

Referenzen (8)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan