www.fuchsfelge.com

Bugsink: https://bugsink.cytrus.de/issues/issue/631fdfac-1cf4-44fe-9c85-138ea2ff091d/event/last/

Typ: NEW issue

Projekt: www-fuchsfelge-com

Bugsink Alert

TYPO3\CMS\Extbase\Mvc\Exception\InvalidControllerNameException: The controller "SeaRCh'Vzykob<'">)LOEBnO" is not allowed by plugin "Pi2". Please chec…

Automatisch erstellt durch n8n

KI-Analyse:

Analyse des Fehlers¶

1. Ursache identifizieren¶

Der Fehler InvalidControllerNameException mit der kryptischen Controller-Namen-Claim "SeaRCh'Vzykob<'">)LOEBnO" deutet auf einen sehr wahrscheinlichen Security-Issue hin:

• SQL Injection: Der Controller-Name scheint ein manipulierter Wert zu sein, der versucht, SQL-Befehle oder JavaScript-Code zu injizieren
• Parameter-Tampering: Der Request-Parameter für den Controller wurde von außen manipuliert
• Fehlende Input-Validierung: TYPO3 Extbase hat versagt, den Controller-Namen zu validieren

Die verdächtige Zeichenkette enthält typische Injection-Muster:

• Anführungszeichen (')
• Klammern ((), <>)
• Mischung aus Buchstaben und Sonderzeichen

2. Fix beschreiben (konkret)¶

Sofortmaßnahmen:¶

// In der Extension's ext_localconf.php
// Sicherstellen, dass nur gültige Controller konfiguriert sind
$GLOBALS['TSTOOLS']['extheets'][$_EXTKEY]['controllers'] = [
    'Sea' => ['List', 'Search', 'Detail'], // Nur erlaubte Controller
];

Code-Implementierung:¶

1. Input-Validierung in der betroffenen Extension:

// Controller-Validierung hinzufügen
public function initializeAction() {
    $controllerName = $this->request->getControllerName();
    
    // Whitelist-Validierung
    $allowedControllers = ['List', 'Search', 'Detail', 'News'];
    if (!in_array($controllerName, $allowedControllers)) {
        throw new \InvalidArgumentException('Invalid controller name');
    }
}

2. Extbase-Configuration überprüfen:

// ext_localconf.php
\TYPO3\CMS\Extbase\Utility\ExtensionUtility::configurePlugin(
    'Vendor ExtensionKey',
    'Pi2',
    'Vendor\\ExtensionKey\\Controller\\SeaController',
    'optional_pointer'
);

3. URL-Routing prüfen: Secure URLs aktivieren und prüfen

3. Betroffene TYPO3 Extension nennen¶

Unbestimmt - Benötigt weitere Informationen:

• Möglicherweise: Eine Custom Extension mit dem Namen "Sea" oder "Search"
• Plugin-Parameter: Pi2 deutet auf eine spezifische Plugin-Instance hin
• Benötigt: Analyse der ext_localconf.php der betroffenen Extension

Betroffene Datei wäre typischerweise:
/typo3conf/ext/[extension_name]/ext_localconf.php

4. Confidence: 85%¶

Begründung:

• Der kryptische Controller-Name ist eindeutig manipuliert
• TYPO3 Extbase wirft explizit InvalidControllerNameException
• Typisches Muster für Parameter-Injection
• Fehlende Input-Validierung in vielen TYPO3 Extensions

Abhängigkeit von:

• Weitere Analyse der Extension-Quellcode
• Zugriff auf aktuelle URL-Parameter
• Log-Dateien für Request-Details