Wenn Sie eine E-Mail von mir erhalten haben, die Sie auf diese Seite verweist, dann deshalb, weil Ihre Website offenbar eine Version von powermail (der TYPO3-Formular-Erweiterung von in2code, Composer-Paket in2code/powermail, die in Ihren Dateien unter typo3conf/ext/powermail/ oder, bei einer Composer-Installation, unter vendor/in2code/powermail/ liegt) einsetzt, die in den betroffenen Bereich eines bekannten Sicherheitsproblems fällt. Diese Seite erklärt, worum es sich bei dem Problem handelt, wie Sie herausfinden, ob es auf Ihre Website zutrifft, auf welche Version Sie aktualisieren sollten, und wie Sie prüfen, ob es bereits jemand gegen Sie verwendet hat.

Vorab die wichtigste Tatsache zu diesem Hinweis: Eine Version im betroffenen Bereich bedeutet für sich genommen nicht, dass Ihre Website exponiert ist. Das unten beschriebene Problem kommt nur bei Formularen zum Tragen, die ein Feld haben, das als Name des Absenders gekennzeichnet ist, und ich kann von außen nicht sehen, wie Ihre Formulare konfiguriert sind:

  • Das Problem erreicht nur ein powermail-Formular, das mindestens ein Feld hat, bei dem die Checkbox “Dieses Feld enthält den Namen des Absenders” (englisch: “This field contains the Name of the sender”, auf dem Reiter Erweitert des Feldes im TYPO3-Backend) aktiviert ist. Wenn keines Ihrer Formulare diese Kennzeichnung verwendet, betrifft Sie dies nicht, selbst auf einer betroffenen Version.
  • Allerdings ist die Kennzeichnung verbreitet. Das Standard-Feld Name des Formular-Assistenten setzt sie in der Regel, und der Sicherheitshinweis des Herstellers nennt die Konfiguration “verbreitet und nahe am Standard”. Bitte prüfen Sie es also, statt es anzunehmen.

Ich kann Ihre powermail-Version aus einer öffentlich zugänglichen Datei ablesen, aber ich kann Ihre Formulareinstellungen nicht einsehen. Daher ist dieser Hinweis eine vorsorgliche Warnung und kein bestätigter Befund bezüglich Ihrer Website.

Es handelt sich um CVE-2026-77136 (TYPO3-Advisory TYPO3-EXT-SA-2026-022), eine nicht authentifizierte serverseitige Template-Injection in der Mail-Verarbeitung der Erweiterung. Betroffen sind alle powermail-Versionen vor 10.9.3, alle 11.x- und 12.x-Versionen vor 12.6.1 und alle 13.x-Versionen vor 13.2.1. Behoben ist das Problem in 10.9.3, 12.6.1 und 13.2.1, alle veröffentlicht am 25. August 2026, eine je TYPO3-Linie. Es gibt keine Version, die alt genug wäre, um nicht betroffen zu sein: Die Schwäche ist Teil des ursprünglichen Designs der Erweiterung und nicht etwas, das erst in einer späteren Version hinzukam.

Ein Wort zur Dringlichkeit, denn dies ist ein bedingter Hinweis. Wenn keines Ihrer Formulare ein als Name des Absenders gekennzeichnetes Feld hat, ist das Update normale Wartung. Wenn eines Ihrer Formulare ein solches Feld hat, behandeln Sie das Update bitte als Priorität: Der Sicherheitshinweis des Herstellers berichtet, dass dieses Problem aktiv ausgenutzt wird, und in dieser Konfiguration kann ein Besucher ganz ohne Konto Ihren Server dazu bringen, Template-Code seiner Wahl auszuwerten, was Ihre Konfiguration, Umgebungsvariablen und Ihren Quellcode offenlegen und, je nach Setup, zu Remotecodeausführung führen kann.

Dies ist eine Schwachstelle einer Erweiterung, nicht des TYPO3-Kerns. Ein vollständig aktuelles TYPO3 schützt Sie nicht, wenn die powermail-Erweiterung selbst auf einer betroffenen Version ist.

Ist diese Nachricht seriös?

Ja. Dies ist ein Hinweis nach Treu und Glauben im Sinne der verantwortungsvollen Offenlegung von einem unabhängigen Sicherheitsforscher. Ich bitte Sie nicht um Geld, Passwörter oder Zugang zu Ihrer Website, und ich habe nicht versucht, in sie einzudringen, eines Ihrer Formulare abzusenden oder ihr irgendetwas zu schicken.

Ich habe lediglich öffentlich sichtbare Dateien betrachtet, die Ihre Website jedem Besucher ausliefert (auf die gleiche Weise, wie Ihre Startseite öffentlich ist), und die Version notiert, die die eigenen Assets der Erweiterung erkennen lassen. Ich habe ausdrücklich kein Formular abgesendet, nirgendwohin Template-Syntax geschickt und mich der Mail-Verarbeitung der Erweiterung nicht genähert. Nichts an dieser Überprüfung berührt Ihre Daten, Ihr Backend oder einen privaten Teil Ihrer Website (mehr dazu unter Was ich getan und nicht getan habe weiter unten).

Wenn Sie überprüfen möchten, wer ich bin, finden Sie die Kontaktdaten am Ende dieser Seite und auf der Über-Seite.

Warum das wichtig ist

Powermail baut die Kontakt- und Anfrageformulare auf sehr vielen TYPO3-Websites. Wenn ein Besucher ein Formular absendet, verschickt die Erweiterung eine Mail an den konfigurierten Empfänger der Website und trägt den Namen des Absenders in diese Mail ein, und zwar aus denjenigen Formularfeldern, die der Redakteur als Name des Absenders gekennzeichnet hat.

Powermail erlaubt es Redakteuren, kleine Stücke der TYPO3-Template-Sprache Fluid in bestimmte Mail-Einstellungen zu schreiben, zum Beispiel damit eine Betreffzeile “Message from {firstname}” lauten kann. Das ist ein bewusstes Feature für Werte, die ein Redakteur eingetippt hat. In betroffenen Versionen wurde der aus den Eingaben des Besuchers zusammengesetzte Absendername derselben Template-Engine übergeben, so als hätte ihn ein Redakteur geschrieben. Ein Besucher konnte also Fluid-Syntax in das Namensfeld eines öffentlichen Formulars eintippen, und der Server wertete sie beim Erstellen der Empfänger-Mail aus.

Daraus folgen zwei Dinge, die in entgegengesetzte Richtungen weisen. Das erste ist, dass dies nur dort relevant ist, wo ein Formularfeld tatsächlich die Absendername-Kennzeichnung trägt; eine Website, deren Formulare kein solches Feld verwenden, ist über dieses Problem nicht erreichbar. Das zweite ist, dass dort, wo die Kennzeichnung gesetzt ist, kein Konto, kein Passwort und keine Mitwirkung von irgendjemandem erforderlich ist: Das Formular ist per Design öffentlich, und das Einzige, was der Angreifer tun muss, ist, es abzusenden. Der Hersteller stuft das Problem als kritisch ein (CVSS-4.0-Wert 9.5), und sein Sicherheitshinweis besagt, dass es aktiv ausgenutzt wird.

Ich beschreibe dies auf dem Niveau, das ein Website-Betreiber zum Handeln benötigt, und nicht weiter. Ich veröffentliche nicht die Details, die es jemandem ermöglichen würden, das Problem nachzustellen, und ich bitte Sie, es nicht gegen Ihre eigene Website oder die einer anderen Person auszuprobieren. Die Prüfung Ihrer Formularfelder und Ihrer Version, wie unten beschrieben, sagt Ihnen alles, was Sie für Ihre Entscheidung wissen müssen.

Wenn meine E-Mail dieses Problem genannt hat, bedeutet das, dass die Version, die die Assets Ihrer Website erkennen lassen, in den betroffenen Bereich fällt. Ich habe nicht getestet, ob Ihre konkrete Website ausnutzbar ist, und ich kann nicht sehen, wie Ihre Formulare aufgebaut sind. Alles, was ich beobachtet habe, ist die Version.

Bin ich betroffen?

Zwei Fragen entscheiden das, in dieser Reihenfolge.

Erstens: Trägt ein Formularfeld die Absendername-Kennzeichnung?

Das ist die entscheidende Frage, und nur Sie können sie beantworten. Die Prüfung Ihrer eigenen Formulare ist völlig gefahrlos und der eigentliche Zweck dieser Seite.

  1. Melden Sie sich im TYPO3-Backend an und öffnen Sie die Seite (oder den Ordner), auf der Ihre powermail-Formulare liegen. Jedes Formular ist ein Datensatz mit einer oder mehreren Seiten, und jede Seite enthält die Felder.
  2. Öffnen Sie jeden Feld-Datensatz und suchen Sie auf seinem Reiter Erweitert die Checkbox “Dieses Feld enthält den Namen des Absenders”. Sie ist am häufigsten bei dem Feld aktiviert, in das Besucher ihren Namen eintippen.
  3. Wenn bei keinem Feld auf irgendeinem Ihrer Formulare diese Checkbox aktiviert ist, erreicht dieses Problem Ihre Website nicht, selbst auf einer betroffenen Version. Ein Update lohnt sich trotzdem als normale Wartung.
  4. Wenn bei irgendeinem Feld die Checkbox aktiviert ist, betrifft das Problem Sie, und Sie sollten zeitnah aktualisieren (siehe Wie Sie aktualisieren). Wenn Sie nicht sofort aktualisieren können, deaktivieren Sie diese Checkbox bei jedem Feld, das sie trägt: Das ist die vom Hersteller selbst empfohlene Abhilfe, und sie schließt das Problem für sich allein. Der Preis dafür ist, dass der Name des Absenders in den vom Formular verschickten Mails nicht mehr ausgefüllt wird, bis Sie aktualisiert und die Checkbox wieder aktiviert haben.

Bitte versuchen Sie nicht, das Problem gegen Ihre eigene Website oder die einer anderen Person nachzustellen; das ist zur Beantwortung der obigen Frage nicht nötig.

Zweitens: Welche Version setzen Sie ein?

Sie müssen mir nicht einfach glauben. Beachten Sie, dass es für eine TYPO3-Erweiterung keine öffentliche Versionsdatei gibt, wie es sie etwa für ein WordPress-Plugin gibt; die zuverlässigen Ablesungen erfolgen daher alle aus dem Inneren Ihrer Installation:

Aus dem TYPO3-Backend (maßgeblich): Gehen Sie zu Admin-Werkzeuge und dann Erweiterungen. Die Liste der installierten Erweiterungen zeigt die Version jeder einzelnen; suchen Sie powermail. (Bei einer Composer-basierten Installation ist die Liste schreibgeschützt, zeigt aber trotzdem die installierte Version.)

Von der Befehlszeile, bei einer Composer-Installation: Führen Sie in Ihrem Projektverzeichnis composer show in2code/powermail aus. Die Zeile versions ist die installierte Version.

Aus den Dateien: Öffnen Sie ext_emconf.php im Erweiterungsordner (typo3conf/ext/powermail/ bei einer klassischen Installation, vendor/in2code/powermail/ bei einer Composer-Installation) und suchen Sie den Eintrag 'version' nahe dem Anfang.

Wenden Sie dann diese Regel an, wobei Versionen numerisch und nicht alphabetisch verglichen werden (10.9.2 ist neuer als 10.8.2, und 13.2.1 ist neuer als 13.2.0):

  • 13.0.0 bis 13.2.0: potenziell betroffen, abhängig von der obigen Frage zur Kennzeichnung. Aktualisieren Sie auf 13.2.1 oder neuer.
  • 11.0.0 bis 12.6.0: potenziell betroffen, abhängig von der obigen Frage zur Kennzeichnung. Aktualisieren Sie auf 12.6.1 oder neuer. Das schließt jede 11.x-Version ein: Es gibt keinen separaten 11.x-Fix, und 12.6.1 läuft auf denselben TYPO3-Versionen (12.2 bis 12.5) wie 11.x, es ist also ein reines Erweiterungs-Update ohne nötiges TYPO3-Upgrade.
  • 10.9.2 und alles Ältere: potenziell betroffen, abhängig von der obigen Frage zur Kennzeichnung. Wenn Sie auf 9.x oder 10.x (TYPO3 11.5) sind, aktualisieren Sie auf 10.9.3 oder neuer. Wenn Sie auf 7.x oder 8.x (TYPO3 8.7 bis 10.4) sind, lesen Sie den nächsten Absatz.
  • 13.2.1, 12.6.1 oder 10.9.3 und neuer innerhalb ihrer Linie: in Bezug auf dieses Problem bereits behoben.

Wenn Sie auf powermail 7.x oder 8.x sind, gibt es keine behobene Version, die auf Ihrer TYPO3-Version läuft: 10.9.3 erfordert TYPO3 11.5. Für diese Websites lautet die Anweisung des Herstellers, die oben genannte Abhilfe anzuwenden, also die Checkbox “Dieses Feld enthält den Namen des Absenders” bei jedem Feld zu deaktivieren, das sie trägt, und ein TYPO3-Upgrade auf eine unterstützte Linie zu planen, für die eine behobene powermail-Version verfügbar ist. Die TYPO3-Versionen, auf denen diese Generationen laufen, sind selbst seit Langem außerhalb des Supports, was ein zweiter Grund ist, diesen Schritt zu planen.

Eine Prüfung, die nicht funktioniert; verlassen Sie sich bitte nicht darauf. Wenn Sie in Ihren Seitenquelltext schauen, sehen Sie die Assets der Erweiterung mit einer langen angehängten Zahl, zum Beispiel .../JavaScript/Powermail/Form.min.js?1785752971 (oder in den Dateinamen eingebettet als Form.min.1785752971.js). Diese Zahl ist ein Datei-Zeitstempel, den TYPO3 zum Cache-Busting anhängt, keine Version, und Sie können daraus mit bloßem Auge keine Version ablesen. Sie ist zufällig das, was meine Prüfung verwendet hat, auf eine Weise, die ich unten erkläre, aber die obigen Ablesungen sind diejenigen, denen Sie vertrauen sollten.

Wie Sie aktualisieren

Die behobenen Versionen sind im TYPO3 Extension Repository (TER), auf Packagist und auf GitHub veröffentlicht, es handelt sich also um ein normales Erweiterungs-Update. Sichern Sie zuerst, und aktualisieren Sie dann über den Mechanismus, der zur Installationsart Ihrer Website passt:

  1. Sichern Sie Ihre Website (Dateien und Datenbank), bevor Sie Änderungen vornehmen. Die meisten Hosting-Anbieter bieten Ein-Klick-Sicherungen an.
  2. Composer-Installation (die meisten Websites auf TYPO3 12 und 13 und viele auf 11): Führen Sie in Ihrem Projektverzeichnis das Anforderungs-Update für Ihre Linie aus, zum Beispiel composer require "in2code/powermail:^13.2.1" auf TYPO3 13, "in2code/powermail:^12.6.1" auf TYPO3 12 oder "in2code/powermail:^10.9.3" auf TYPO3 11.5. Führen Sie dann Ihre üblichen Schritte nach einem Update aus (vendor/bin/typo3 extension:setup auf TYPO3 12 und 13, oder das Äquivalent Ihres Deployments) und leeren Sie die Caches.
  3. Klassische Installation (ohne Composer): Gehen Sie im TYPO3-Backend zu Admin-Werkzeuge und dann Erweiterungen, stellen Sie das Dropdown auf Erweiterungen laden, suchen Sie powermail und aktualisieren Sie es auf die behobene Version für Ihre Linie. Wenn Ihre Website das TER nicht erreichen kann, verlinkt der Sicherheitshinweis des Herstellers die Release-Archive direkt (siehe Quellen); laden Sie das Archiv über Erweiterungen und die Upload-Schaltfläche hoch. Leeren Sie danach die Caches.
  4. Bestätigen Sie nach dem Update die neue Version (13.2.1, 12.6.1 oder 10.9.3, je nachdem, was zu Ihrer Linie passt) mit den obigen Schritten, und senden Sie testweise eines Ihrer eigenen Formulare ab, um zu prüfen, dass die Mails weiterhin normal ankommen.

Wenn Sie schon dabei sind, lohnt es sich zu prüfen, dass auch TYPO3 selbst und Ihre übrigen Erweiterungen aktuell sind, denn dasselbe Prinzip gilt für sie alle.

Nach dem Update: Wurde das bereits gegen Sie verwendet?

Das Update schließt das Problem, und für viele Websites ist das die ganze Aufgabe. Diese Seite ist eine vorsorgliche Mitteilung, kein Vorfallsbericht: Ich habe keine Einsicht darin, ob auf Ihrer Website etwas passiert ist, und ich habe auch nicht danach gesucht.

Da der Hersteller aber berichtet, dass dieses Problem in freier Wildbahn ausgenutzt wurde, lohnt sich ein Folgeschritt, und er hängt von derselben Frage zur Kennzeichnung ab. Wenn Ihre Website ein Formular mit einem Absendername-Feld hatte, während eine betroffene Version lief, dann war es möglich, dass jemand über dieses Formular Template-Code auf Ihrem Server ausgeführt hat, und das Update macht nichts ungeschehen, was möglicherweise bereits ausgelesen wurde. Der Sicherheitshinweis des Herstellers nennt eine einfache Selbstprüfung, und sie kostet nichts:

  • Sehen Sie sich die Absendernamen an, die Ihre Formulare erhalten haben. Prüfen Sie die Mails, die Ihre Formulare Ihnen geschickt haben, und die gespeicherten Einsendungen im TYPO3-Backend (powermails eigenes Modul Mails) oder in der Datenbanktabelle tx_powermail_domain_model_mail auf Absendernamen, die Fluid-Syntax enthalten, etwa f:, v: oder {namespace. Der Name eines echten Besuchers sieht nie so aus.
  • Wenn Sie welche finden, lautet die Empfehlung des Herstellers, das System als potenziell kompromittiert zu behandeln. Da dieses Problem Konfiguration und Umgebungsvariablen offenlegen kann, ist die vernünftige Reaktion in diesem Fall, die Geheimnisse Ihrer Website zu rotieren: das Datenbank-Passwort, TYPO3s encryptionKey, das Install-Tool-Passwort und alle API-Schlüssel oder Zugangsdaten in Ihrer Konfiguration oder Umgebung. Prüfen Sie Ihre Backend-Benutzer auf Konten, die Sie nicht wiedererkennen, suchen Sie nach unerwarteten Dateien auf dem Server, und wenn Ihre Organisation ein IT-Sicherheitsteam oder ein nationales CERT hat, ziehen Sie es hinzu.
  • Wenn Sie keine finden, und insbesondere wenn von vornherein kein Feld die Kennzeichnung trug, reicht das Update allein aus.

Zur Einordnung: Dies ist eine Selbstprüfung, keine Feststellung, dass Ihre Website angegriffen wurde. Dieser Hinweis beruht auf einem Versions-Fingerabdruck, nicht auf irgendeinem Beleg für einen Vorfall.

Was ich getan und nicht getan habe

Um bezüglich der Prüfung hinter meiner E-Mail vollständig transparent zu sein: Ich habe nur Dateien gelesen, die Ihre Website bereits jedem Besucher ausliefert, konkret Ihre Startseite und die darin eingetragenen Adressen der powermail-Assets. Ich habe nicht auf Ihr TYPO3-Backend, Ihre Datenbank, Ihre Formularkonfiguration oder einen privaten Teil der Website zugegriffen.

Insbesondere habe ich nie eines Ihrer Formulare abgesendet und nie Template-Syntax an Ihre Website oder die einer anderen Person geschickt. Es wurde nichts abgesendet, getestet oder ausgenutzt. Das wiegt hier schwerer als auf den meisten dieser Seiten, denn eine Formulareinsendung ist genau die Aktion, um die es bei diesem Problem geht; “ich habe es nicht berührt” ist also der ganze Unterschied zwischen einer Offenlegung und einem Eindringen.

Wie die Version identifiziert wurde, da eine TYPO3-Erweiterung keine Versionsdatei veröffentlicht: TYPO3 hängt an die URL jedes Assets dessen letzten Änderungszeitpunkt an, wie in Form.min.js?1785752971. Auf einer mit Composer installierten Website ist dieser Zeitpunkt der Moment der Veröffentlichung des Releases, denn Composer bewahrt ihn beim Entpacken des Pakets, die Zahl identifiziert das Release also exakt: Jedes powermail-Release hat seine eigene. Ich habe die Zahl, die Ihre Website ausliefert, mit den veröffentlichten Release-Zeiten verglichen und Ihnen nur bei einer exakten Übereinstimmung geschrieben. Alles andere, was typischerweise eine über den Extension Manager installierte oder durch Kopieren von Dateien bereitgestellte Website ausliefert, wird als “unbekannt” gewertet, und solchen Websites habe ich gar nicht geschrieben.

Diese Methode hat einen bekannten blinden Fleck, und er irrt in Richtung Vorsicht. Die Korrekturen ändern nur den PHP-Code der Erweiterung, nicht ihre öffentlichen Assets. Wenn Ihre Website also gepatcht wurde, indem nur der Code ersetzt wurde (ein manueller Hot-Patch statt eines vollständigen Updates), tragen ihre Assets weiterhin den Zeitstempel der alten Version, und sie erscheint als betroffene Version, obwohl sie geschützt ist. Wenn Sie das Problem bereits auf anderem Wege behoben haben, ist keine Handlung nötig, und ich entschuldige mich für die Störung.

Ich veröffentliche auch bewusst nicht die Details, die jemandem helfen würden, dieses Problem auszunutzen. Die obige Beschreibung endet auf dem Niveau, das ein Website-Betreiber benötigt, und ich verlinke keinen Proof-of-Concept-Code.

Dies ist eine versionsbasierte Beobachtung: Die Assets Ihrer Website lassen eine Version im betroffenen Bereich erkennen. Es ist keine Aussage, dass Ihre Website zum Zeitpunkt meiner Prüfung ausnutzbar war. Da das Problem von einer Formularfeld-Einstellung abhängt, die ich nicht sehen kann, ist eine Website in diesem Bereich möglicherweise gar nicht exponiert, und eine Website in diesem Bereich kann unabhängig davon durch andere Mittel wie eine Web Application Firewall geschützt sein.

Ich habe keinen Webmaster / ich komme nicht weiter

Wenn Sie nicht die Person sind, die die Website betreut, leiten Sie diese Seite bitte an diejenigen weiter, die das tun (Ihr Webentwickler, Ihre Agentur oder Ihr Hosting-Anbieter). Sie werden die obigen Schritte schnell wiedererkennen.

Wenn Sie die Website selbst betreuen und nicht weiterkommen, helfe ich Ihnen gerne kostenlos in die richtige Richtung. Melden Sie sich über die unten stehenden Kontaktdaten.

Kontakt

Evan Harris, Sicherheitsforscher

Ich kontaktiere Betreiber zu solchen Problemen ausschließlich, um ihnen bei der Absicherung ihrer Websites zu helfen. Wenn Sie nicht erneut kontaktiert werden möchten, teilen Sie mir das einfach mit, und ich werde das respektieren.

Quellen

Offizielle Meldungen und Nachverfolgung

Hersteller / Erweiterung