Contao模板闭包中的远程代码执行漏洞

作者：Leo Feyer 日期：2025年11月25日 CVE编号：CVE-2025-65960

漏洞描述

拥有对模板闭包内容精确控制权限的后台用户可以执行无必需参数的任意PHP函数。

受影响版本

• Contao 4.0
• Contao 4.1
• Contao 4.2
• Contao 4.3
• Contao 4.4
• Contao 4.5
• Contao 4.6
• Contao 4.7
• Contao 4.8
• Contao 4.9
• Contao 4.10
• Contao 4.11
• Contao 4.12
• Contao 4.13（至4.13.56版本）
• Contao 5.0
• Contao 5.1
• Contao 5.2
• Contao 5.3（至5.3.41版本）
• Contao 5.4
• Contao 5.5
• Contao 5.6（至5.6.4版本）

解决方案

推荐解决方案

升级至以下安全版本之一：

• Contao 4.13.57
• Contao 5.3.42
• Contao 5.6.5

临时缓解措施

手动修补Contao\Template::once()方法。