www.verl.de

Bugsink: https://bugsink.cytrus.de/issues/issue/82344e75-0486-48a1-b65e-3adbdebf1c69/event/last/

Typ: NEW issue

Projekt: www-verl-de

Bugsink Alert

ErrorException: Warning: filesize(): stat failed for /srv/www/www.verl.de/pages/public/uploads/tx_powermail/1-1_or_909__select_909_from_pg_sleep_15__…

Automatisch erstellt durch n8n

KI-Analyse:

Analyse¶

1. Ursache¶

Ein SQL-Injection-Versuch wurde über den Datei-Upload eines Powermail-Formulars durchgeführt. Der Dateiname 1-1_or_909__select_909_from_pg_sleep_15__-- enthält die Signatur eines Time-Based Blind SQL Injection Payload gegen PostgreSQL (pg_sleep(15)).

Die Datei wurde entweder hochgeladen oder der Dateiname wurde in der Datenbank/Dateiverwaltung registriert. Später versucht TYPO3 (bzw. ein Scheduler-Task, eine Formular-Verarbeitung oder ein Cleanup-Prozess), die Dateigröße mit filesize() zu ermitteln — die Datei existiert aber nicht mehr oder der Pfad ist ungültig, weshalb stat() fehlschlägt.

2. Fix¶

• Datei löschen: Prüfen, ob die Datei /srv/www/www.verl.de/pages/public/uploads/tx_powermail/1-1_or_909__select_909_from_pg_sleep_15__-- physisch existiert und entfernen.
• Dateiname-Sanitization: In Powermail sicherstellen, dass Dateinamen bei Upload ordnungsgemäß bereinigt werden (z. B. via GeneralUtility::makeInstance(Resources\Utility\FilePathSanitizer::class) oder eigenes Filtering).
• Code-Check: Wo filesize() aufgerufen wird — vor dem Aufruf file_exists() prüfen, um den Warning zu unterdrücken.
• Extension updaten: Prüfen, ob ein Security-Patch für die eingesetzte Powermail-Version vorliegt.
• WAF/ModSecurity: Regel hinterlegen, die Dateinamen mit SQL-Injection-Patterns blockiert.

3. Betroffene Extension¶

powermail (EXT:powermail) — Datei-Upload-Funktionalität des Formularbuilders.

4. Confidence¶

85% — Der Dateiname ist eindeutig ein SQLi-Payload (pg_sleep), der Pfad zeigt eindeutig auf powermail-Uploads. Der genaue Code-Pfad, der filesize() aufruft, ist aus dem Stack Trace nicht ersichtlich (nur Middleware-Frames), daher die 15% Unsicherheit.