www.rietberg.de

Bugsink: https://bugsink.cytrus.de/issues/issue/dc979fe1-ff81-4f01-80d0-ea2d5e11af20/event/last/

Typ: NEW issue

Projekt: www-rietberg-de

Bugsink Alert

DateMalformedStringException: Failed to parse time string (2026qpIkXu57' OR 941=(SELECT 941 FROM PG_SLEEP(15))---01-01) at position 4 (q): The timezo…

Automatisch erstellt durch n8n

KI-Analyse:

1. Ursache identifizieren:
Der Fehler entsteht durch eine SQL-Injection im Datum-String. Der übergebene Wert 2026qpIkXu57' OR 941=(SELECT 941 FROM PG_SLEEP(15))---01-01 versucht, eine Zeitverzögerung per PG_SLEEP(15) (PostgreSQL) auszulösen. Die Datumsparsing-Routine von TYPO3 (vermutlich über DateTime oder IntlDateFormatter) scheitert an dem manipulierten String und wirft eine DateMalformedStringException. Die Error-Meldung "timezone could not be found" ist eine Nebenfolge der ungültigen Eingabe.

2. Fix beschreiben:

• Input-Validierung: Alle Benutzereingaben (GET/POST/COOKIES) musten vor der Verarbeitung streng validiert werden. Nutze z. B. filter_input() mit FILTER_VALIDATE_DATE oder eigene Regex-Checks für Datumsfelder.
• Bereinigung: Nutze addslashes() oder bessere Prepared Statements (z. B. via $GLOBALS['TYPO3_DB']->prepare()), um SQL-Injection zu verhindern.
• Fehlerbehandlung: Fang DateMalformedStringException ab und logge die IP-Adresse für Security-Monitoring. Zeige Nutzern keine internen Fehler an.

3. Betroffene TYPO3 Extension:
Keine spezifische Extension wird genannt, aber der Fehler tritt im TYPO3 Core (Klasse AbstractApplication.php) auf. Die Schwachstelle liegt wahrscheinlich in einer Erweiterung (z. B. bootstrap_package, container, oder Custom-Extensions), die Benutzereingaben unsicher an Core-Funktionen weitergibt.

4. Confidence (0-100%):
95% – Die Error-Message und der Inhalt des Strings (PG_SLEEP) deuten eindeutig auf eine gezielte SQL-Injection hin. Die Stapelverfolgung zeigt, dass der Fehler vor dem Middlewares-Check auftritt, was auf eine ungesicherte Early-Processing-Erweiterung hindeutet.