News

Strengere SVG-Bereinigung

Beide LTS-Versionen heben das Paket enshrined/svg-sanitize auf Version 1.0 an. TYPO3 nutzt diese Bibliothek, um SVG-Dateien von potenziell gefährlichem Code zu bereinigen. Mit dem Update arbeitet die Bereinigung strenger: Externe URL-Verweise in eingebetteten Links und in Style-Definitionen werden jetzt entfernt.

Hinter dem Update stecken zwei Sicherheitslücken in der Bibliothek, beide mit mittlerem Schweregrad. Über eine präparierte SVG-Datei ließ sich zum einen JavaScript einschleusen, zum anderen den PHP-Prozess zum Absturz bringen. In TYPO3 setzen beide Lücken in der Regel einen Backend-Zugang mit Upload-Rechten voraus. Das Einschleusen von JavaScript funktioniert außerdem nur, wenn die SVG inline im HTML ausgegeben wird. Die Details stehen in den beiden Advisories:

• Stored XSS via DTD Entity (GHSA-9rjx-3jch-6vjf)
• Denial of Service via DTD Attribute Declaration Crash (GHSA-v383-3rw5-q8rf)

Für die Praxis heißt das: Wer SVGs inline ausgibt oder SVG-Uploads über das Frontend erlaubt, sollte das Update zügig einspielen. Außerdem lohnt nach dem Update ein Blick auf SVG-Grafiken, die auf externe Ressourcen verweisen, etwa auf extern gehostete Bilder oder Schriften. Sie werden unter Umständen nicht mehr wie erwartet dargestellt.

Bugfixes in TYPO3 14.3.8

Die Liste der Änderungen seit 14.3.7 ist lang. Für Integratoren besonders interessant:

• Tägliche Scheduler-Tasks behalten ihre Uhrzeit über die Zeitumstellung hinweg. Das passt gut, denn am 25. Oktober wird auf Winterzeit umgestellt.
• Parameter von Scheduler-Tasks werden beim Anlegen über das SchedulerTaskRepository korrekt gespeichert.
• Redakteure können die Sichtbarkeit von Dateireferenzen wieder umschalten und Redirects aktivieren oder deaktivieren.
• Nicht konfigurierte Seitentypen (type ungleich 0) liefern jetzt einen 404-Fehler.
• In Workspaces lassen sich workspace-fähige Tabellen nicht mehr live bearbeiten.
• Zahlreiche Korrekturen in Indexed Search und im Linkvalidator.
• CKEditor 5 wurde auf Version 48.5.2 aktualisiert.

Bugfixes in TYPO3 13.4.36

Auch 13.4.36 bringt den Wechsel auf CKEditor 5 v48 mit. Dazu kommen unter anderem diese Korrekturen: Redakteure können Redirects wieder aktivieren und deaktivieren, Bilder werden nicht mehr auf minWidth oder minHeight verkleinert, und der Seitenbaum kommt mit leeren Seitentiteln zurecht. Außerdem unterstützt TYPO3 13 jetzt HTTP-QUERY-Requests.

ELTS für ältere Versionen

Die ELTS-Versionen 10.4.61, 11.5.55 und 12.4.50 sollen vor allem bestehende Instanzen stabil halten und dafür sorgen, dass das Backend auch mit aktuellen Browsern zuverlässig läuft. Diese Versionen gibt es nur über die kostenpflichtigen ELTS-Pakete der TYPO3 GmbH. TYPO3 v12 erhält seit dem 30. April 2026 keinen kostenlosen Support mehr.

Update einspielen

Datenbank-Updates sind nicht nötig. Es gilt das übliche Vorgehen: Update einspielen und danach bei Bedarf alle Caches über das Modul Wartung im Install Tool leeren. Für Installationen im Classic Mode ohne Composer wurden zusätzlich die mitgelieferten Abhängigkeiten angehoben.

Alle Details und die vollständigen Change Logs finden sich in den offiziellen Meldungen:

• TYPO3 14.3.8 and 13.4.36 maintenance releases published
• Release Notes TYPO3 14.3.8
• Release Notes TYPO3 13.4.36
• TYPO3 10.4.61, 11.5.55 and 12.4.50 ELTS released

Bei allen unseren Wartungsvertragskunden wurden diese Security-Updates bereits eingespielt!