www.rietberg.de

Bugsink: https://bugsink.cytrus.de/issues/issue/bd1e7d97-015b-4627-a612-ecde2ac53a00/event/last/

Typ: NEW issue

Projekt: www-rietberg-de

Bugsink Alert

TYPO3\CMS\Extbase\Mvc\Exception\InvalidControllerNameException: The controller "Event' AND EXTRACTVALUE(3216,CONCAT(0x7e,((SELECT (ELT(3216=3216,1)))…

Automatisch erstellt durch n8n

KI-Analyse:

1. Ursache
Klassischer automatisierter SQL-Injection-Probe. Der Angreifer manipuliert den Extbase-Controller-Parameter (z. B. tx_calendarlist_controller) mit einem Error-Based-Payload (EXTRACTVALUE/ELT). TYPO3 Extbase fängt das korrekt ab: Der Controller steht nicht in der Plugin-Config von „Calendarlist“ → InvalidControllerNameException. Der Schutz funktioniert, aber die Anfrage wurde trotzdem bis in den Dispatcher durchgereicht.

2. Fix (konkret)

• Core-/Extension-Updates prüfen (composer update, SECURITY-* Releases).
• Im Extension-Code von „Calendarlist“ prüfen, ob in dispatch() oder Custom-Router Rohdaten aus $request->getControllerName() direkt in Queries genutzt werden – falls ja, auf \TYPO3\CMS\Core\Utility\GeneralUtility::underscoredToLowerCamelCase + Whitelist-Check gegenüber $_EXTCONF/configurePlugin() beschränken.
• Web Application Firewall / Rate-Limiting für /index.php mit Signaturen wie EXTRACTVALUE, ELT(, CONCAT(0x aktivieren.
• Log-Level auf „Warning“ reduzieren, sonst Spam bei Scans.

3. Betroffene Extension
Das Plugin „Calendarlist“ – anhand des Namens eine Kalender/Events-Extension (z. B. sf_event_mgt, calendarize, tx_calendarize oder eine Custom-Extension). Den genauen Extension-Key liefert composer.json bzw. ext_localconf.php der Site.

4. Confidence

• SQLi-Attacke erkannt: 99 %
• Schutz durch Extbase Plugin-Check erfolgreich: 95 %
• Aktuelle Schwachstelle in Calendarlist selbst: 30 % (ohne Zugriff auf Dispatcher-Code nicht beweisbar)