TYPO3 CMS записывает файлы, загруженные посетителями через формы, в общедоступный каталог, даже когда администратор выбрал для них закрытое хранилище. Уязвимость CVE-2026-109162 получила 6.3 балла по шкале CVSS, это средняя степень опасности. Речь идёт о модуле форм typo3/cms-form в версиях с 14.0.0 по 14.3.8. Исправление вошло в TYPO3 14.3.9 LTS, выпущенный 13 октября 2026 года.
Уязвимость CVE-2026-109162 в модуле форм TYPO3
Элементы FileUpload и ImageUpload позволяют посетителям сайта прикреплять файлы к отправляемой форме. Для них администратор задаёт отдельное место хранения через настройку saveToFileMount. Если в этой настройке указано закрытое хранилище с ограниченным доступом, платформа выбор не применяет и кладёт файлы в стандартный каталог user_upload. Каталог открыт извне. Сервер отдаёт загруженное напрямую, без проверок доступа, которые действуют для закрытых хранилищ.
Формы, где значение saveToFileMount осталось по умолчанию, под угрозой не находятся. Границы проблемы очерчены этим условием: нужна конфигурация с отдельным, непубличным хранилищем. Такое хранилище обычно заводят как раз для того, чтобы отделить присланные пользователями документы от служебных файлов.
Утечка касается только содержимого файлов. Прочитать их можно по прямой ссылке, поскольку ограничений на доступ к каталогу нет. Целостность и доступность данных не страдают, поэтому в векторе CVSS отмечено низкое влияние на конфиденциальность и нулевое по остальным показателям. Среди загружаемых документов часто оказываются заявки, сканы удостоверений и договоры. Открытый доступ к ним создаёт риск нарушения требований к защите персональных данных.
Эксплуатация возможна по сети, сложность низкая, права и действия пользователя не нужны. Однако в векторе указано наличие дополнительных требований: без формы с загрузкой файлов и настроенного закрытого хранилища уязвимость не проявится. Именно поэтому оценка осталась на среднем уровне, хотя по характеру проблему относят к обходу политики безопасности.
Классификация относит ошибку к двум категориям. Первая описывает файлы и каталоги, доступные внешним сторонам. Вторая указывает на нарушение порядка операций: выбранный путь хранения теряется, потому что настройка срабатывает не в тот момент, когда нужно. Ни одна из них не связана с ошибкой в разборе содержимого файлов.
TYPO3 CMS - система управления содержимым. На ней работают сайты организаций разного масштаба, включая внутренние порталы и сервисы с формами обратной связи. Сведений об эксплуатации уязвимости в реальных атаках в бюллетене нет. Проблему нашли Bejo ning и Eurico Nicacio, исправил Josua Vogel; описание опубликовано под номером TYPO3-CORE-SA-2026-024.
Обновление до версии 14.3.9 LTS закрывает проблему. Администраторам стоит проверить сайты, где формы принимают файлы и используют непустое значение saveToFileMount. Если обновление отложено, разумно вернуть этим формам значение по умолчанию или временно отключить приём файлов. Заодно имеет смысл просмотреть содержимое каталога user_upload и убедиться, что среди файлов нет документов с персональными данными. Прямой доступ к каталогу извне лучше ограничить на уровне веб-сервера.
Файлы, попавшие в открытое хранилище до обновления, остаются там и после установки исправления, поэтому проверка нужна и на уже обновлённых системах. Ошибки в настройках хранилищ встречаются реже, чем дефекты в коде, зато обнаруживаются труднее: внешне форма работает правильно, а путь сохранения расходится с ожиданиями администратора.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-109162
- https://github.com/TYPO3/typo3/security/advisories/GHSA-8p4x-mq38-6pg2
