www.rietberg.de

Bugsink: https://bugsink.cytrus.de/issues/issue/d9b9e181-2f88-43de-a275-26c4c25bb690/event/last/

Typ: NEW issue

Projekt: www-rietberg-de

Bugsink Alert

TYPO3\CMS\Extbase\Mvc\Exception\InvalidControllerNameException: The controller "Event' ORDER BY 1-- -" is not allowed by plugin "Calendarlist". Pleas…

Automatisch erstellt durch n8n

KI-Analyse:

Als Senior TYPO3/PHP Entwickler analysiere ich diesen Fehler wie folgt:

1. Ursache identifizieren¶

Root Cause: Eine SQL-Injection Attacke über den Controller-Parameter.

Ein Angreifer hat versucht, einen Controller-Namen mit schädlichem SQL-Code zu injizieren:

Event' ORDER BY 1-- -

Dieser String wird als Controller-Name interpretiert, was auf eine mangelhafte Validierung und Bereinigung der Eingabedaten hindeutet. Die TYPO3 Extbase-Komponente lehnt diesen Controller-Namen korrekt ab, da er nicht mit den konfigurierten Controllern der Extension übereinstimmt.

2. Fix beschreiben (konkret)¶

Sofortige Maßnahme:

• Überprüfen Sie die ext_localconf.php der betroffenen Extension auf die korrekte Konfiguration mit ExtensionUtility::configurePlugin()

Langfristige Fixes:

1. Input-Validierung verschärfen: Alle Benutzereingaben müssen rigoros validiert und bereinigt werden
2. Parameterized Queries: Verwenden Sie immer prepared statements für Datenbankabfragen
3. Extbase-Standard nutzen: Nutzen Sie die integrierten Validierungsmöglichkeiten von Extbase statt manueller Parsing

Konkretes Code-Beispiel für die Validierung:

// Statt direkter Verwendung des Parameters
$controllerName = $this->request->getArgument('controller');
$allowedControllers = ['Event', 'Calendar', 'List'];

if (!in_array($controllerName, $allowedControllers)) {
    throw new \TYPO3\CMS\Extbase\Mvc\Exception\InvalidControllerNameException(
        'Controller nicht erlaubt', 123456789
    );
}

3. Betroffene TYPO3 Extension nennen¶

Extension: Calendarlist

Die Exception zeigt explizit an: plugin "Calendarlist". Dies ist die Extension, die das Plugin konfiguriert, welches den fehlerhaften Controller-Namen akzeptiert hat.

4. Confidence (0-100%)¶

Confidence: 95%

Die Analyse basiert auf:

• Der eindeutigen Exception-Meldung, die den Plugin-Namen nennt
• Dem erkennbaren SQL-Injection-Muster im Controller-Namen
• Den typischen TYPO3 Extbase-Fehlern bei unzureichender Input-Validierung
• Der Standard-Prozedur, wie TYPO3 ungültige Controller-Namen abfängt

Die verbleibende 5% Unsicherheit resultiert daraus, dass der genaue Code der Extension nicht einsehbar ist, um zu bestätigen, wo genau die Validierung versagt hat.