Für die nicht mehr offiziell unterstützte Powermail-Version 7.5.x steht ein gezielter Sicherheits-Backport bereit. Die inoffizielle Version 7.5.2 schließt die in TYPO3-EXT-SA-2026-022 beschriebene Fluid Server-Side Template Injection (CVE-2026-77136).
Damit können bestehende TYPO3-8.7- und TYPO3-9.5-Installationen kurzfristig abgesichert werden, ohne alle Formulare umbauen oder unmittelbar auf eine neue Powermail-Hauptversion migrieren zu müssen.
Was wurde behoben?
In älteren Powermail-Versionen wurden Mail-Headerwerte pauschal als Fluid interpretiert. Dadurch konnte ein über ein Formular übermittelter Absendername oder eine Absenderadresse unter bestimmten Umständen als Fluid-Code ausgeführt werden.
Der Backport trennt nun konsequent zwischen konfigurierten und vom Besucher übermittelten Werten:
- Besucherwerte werden nicht mehr als Fluid-Template ausgeführt.
- Konfigurierte Werte wie Betreff, Empfängername oder Absendername können weiterhin Fluid-Marker verwenden.
- Der normale Marker
sender_namebleibt unverändert nutzbar.
Kompatibilität
Für vorhandene Formulare sind keine Datenbankänderungen erforderlich. Insbesondere müssen sender_name-Felder oder -Marker nicht entfernt werden.
Auch reine Textwerte in TypoScript-Overrides, beispielsweise receiver.overwrite.senderName, funktionieren unverändert weiter.
Eine Ausnahme gilt nur für sehr spezielle Konfigurationen: Fluid-ViewHelper innerhalb eines Overrides, der einen vom Besucher bestimmten Mail-Header ersetzt, werden nicht mehr ausgewertet. Diese Einschränkung ist beabsichtigt und Teil der Sicherheitsmaßnahme.
Installation
- Vor dem Update ein Backup der Extension und der TYPO3-Installation erstellen.
- Powermail auf die bereitgestellte lokale Version 7.5.2 aktualisieren.
- TYPO3-Caches leeren.
- Mindestens eine Admin-Mail, eine Senderbestätigung und – falls verwendet – den Double-Opt-in-Prozess testen.
Wichtiger Hinweis
Powermail 7.5.x wird vom Hersteller nicht mehr offiziell gepflegt. Dieser Backport reduziert die unmittelbare Gefahr für Legacy-Installationen, ersetzt aber kein langfristiges Upgrade auf eine unterstützte TYPO3- und Powermail-Version.
Bei Fragen oder Auffälligkeiten nach dem Update bitte die eingesetzten Sonderkonfigurationen und Mail-Workflows prüfen.
Keine Kommentare:
Kommentar veröffentlichen