www.verl.de

Bugsink: https://bugsink.cytrus.de/issues/issue/85c57145-b53d-4f3d-b700-5f3b528d8fbe/event/last/

Typ: NEW issue

Projekt: www-verl-de

Bugsink Alert

ErrorException: Warning: filesize(): stat failed for /srv/www/www.verl.de/pages/public/uploads/tx_powermail/1-1___or_144__select_144_from_pg_sleep_15…

Automatisch erstellt durch n8n

KI-Analyse:

Als Senior TYPO3/PHP Entwickler analysiere ich diesen Fehler präzise:

1. Ursache identifizieren¶

Der Fehler ist eine SQL-Injection-Versuchsversuch (Time-based Blind SQL Injection).

Konkret: Ein Angreifer hat versucht, über einen Dateipfad eine schädliche SQL-Abfrage in die TYPO3-Datenbank einzuschleusen. Der Pfad enthält:

• or_144 → OR 1=1 (always true Bedingung)
• select_144_from_pg_sleep_15 → SELECT ... FROM pg_sleep(15) (Time-delay Attack)
• -- → SQL-Kommentar, um den restlichen Code auszuschließen

Die filesize()-Funktion schlägt fehl, weil der Pfad nicht existiert - er ist nur ein manipulierter Angriffsversuch.

2. Fix beschreiben (konkret)¶

Sofortmaßnahme:

1. Input-Validierung verschärfen - Alle Benutzereingaben mustern:

   // Beispiel: Pfad-Parameter validieren
   $cleanPath = preg_replace('/[^a-zA-Z0-9_\-.\/]/', '', $userInput);
   

2. Bereinigung der Dateipfade:

   // Vor der Verwendung in Dateisystemfunktionen
   $sanitizedPath = realpath(
       PathUtility::stripPathSitePrefix($userProvidedPath)
   );
   if (!$sanitizedPath || !file_exists($sanitizedPath)) {
       throw new \RuntimeException('Ungültiger Pfad');
   }
   

3. SQL-Abfragen parametrisieren (falls betroffene Extension direkte DB-Abfragen macht):

   // Statt:
   $query = "SELECT * FROM tx_powermail WHERE uid = " . $userInput;
   
   // Sollte sein:
   $query = "SELECT * FROM tx_powermail WHERE uid = " . $connection->quote($userInput, \PDO::PARAM_INT);
   

3. Betroffene TYPO3 Extension¶

tx_powermail (Powermail Extension)

• Der Pfad tx_powermail zeigt die betroffene Extension
• Vermutlich eine unsichere Stelle in der Datei-Upload-Logik oder Formular-Verarbeitung

4. Confidence: 100%¶

Begründung:

• Der Pfad enthält eindeutige SQL-Injection-Muster (OR 1=1, pg_sleep(15))
• Die Struktur entspricht typischen Time-based Attacken
• Die Extension ist eindeutig identifizierbar
• Die Fehlerursache ist zweifelsfrei ein Sicherheitsproblem

Empfehlung: sofortige Sicherheitsüberprüfung der powermail-Extension, insbesondere aller Stellen, die Benutzereingaben für Dateipfade oder DB-Abfragen verwenden.