CVE-2026-46725: Extensão TYPO3: PHP Object Injection por desserialização de cookie

Visão geral

A CVE-2026-46725 afeta uma extensão do TYPO3 que passa um cookie controlado pelo atacante diretamente para a função unserialize() do PHP. A fraqueza é classificada como CWE-502, Desserialização de Dados Não Confiáveis. O aviso do fornecedor citado no registro é o TYPO3-EXT-SA-2026-013.

Impacto

Segundo o registro, um atacante remoto e não autenticado pode enviar um valor serializado malicioso que dispara PHP Object Injection, podendo levar à execução remota de código no servidor TYPO3. O vetor CVSS 4.0 informado pelo CNA indica vetor de rede, baixa complexidade de ataque, presença de requisitos de ataque, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável. A pontuação base do CNA é 9,2 (crítica).

Produtos e versões afetadas

O registro não lista produtos ou versões afetadas e não identifica o nome da extensão.
O registro também não lista versões corrigidas. A ausência de versão corrigida no registro não significa que não exista correção; consulte o aviso do fornecedor.
A exploração depende de o elemento de conteúdo estar configurado com "Persistent Mode: Static" nas configurações do plugin, segundo o registro.

Status de exploração

A CVE não consta no catálogo KEV da CISA segundo o registro. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS informada é 0,01859, com percentil 0,78681, que estima a probabilidade de atividade de exploração e não confirma ataques.

Correção e mitigação

Identifique se alguma instalação do TYPO3 usa a extensão afetada e compare a versão instalada com o aviso do fornecedor.
Revise as configurações dos elementos de conteúdo e verifique se "Persistent Mode: Static" está em uso; reduzir ou remover essa configuração, quando operacionalmente possível, limita a exposição conforme a condição descrita no registro.
Aplique a atualização indicada pelo fornecedor ou siga as orientações de mitigação do aviso TYPO3-EXT-SA-2026-013.
Restrinja a exposição de endpoints administrativos e públicos desnecessários enquanto a correção estiver pendente.

Orientações de detecção

Inventarie as extensões do TYPO3 e marque para análise qualquer instalação da extensão afetada.
Analise logs do servidor web e da aplicação em busca de requisições a páginas com o elemento afetado que contenham valores de cookie anormalmente grandes ou malformados.
Monitore os servidores de aplicação em busca de processos filhos inesperados ou conexões de saída originadas do runtime PHP, como sinais de atividade pós-exploração.

Limitações das informações disponíveis

O registro não identifica o nome da extensão nem as versões afetadas ou corrigidas.
O status da fonte aparece como Deferred no registro.
A pontuação CVSS vem apenas do CNA; não há pontuação de outro provedor no registro.
Os dados EPSS são apresentados como constam no registro e não confirmam exploração.

Perguntas frequentes

O que é a CVE-2026-46725?

É uma vulnerabilidade crítica de desserialização (CWE-502) em uma extensão do TYPO3 que passa um cookie controlado pelo atacante para a função unserialize() do PHP. O registro a associa a PHP Object Injection e possível execução remota de código.

Esta falha exige autenticação?

Segundo o registro, o atacante é remoto e não autenticado. O vetor CVSS 4.0 informado pelo CNA indica privilégios não exigidos e nenhuma interação do usuário.

Há exploração conhecida desta vulnerabilidade?

O registro não indica inclusão no catálogo KEV da CISA e não aponta exploração confirmada nas fontes consultadas.

Quais versões são afetadas?

O registro não lista versões afetadas nem corrigidas, portanto essa informação é desconhecida. Consulte o aviso do fornecedor em typo3.org.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.