Contao 5.3.54が2026年11月11日付けでリリースされました。

2026年11月11日にセキュリティ更新で予告されていたセキュリティ修正を含んでいます。

• GHSA-xh3r-77ch-frm3: 加工したファイル名を経由した保存型のクロスサイトスクリプティング
• GHSA-wvj5-rchg-986m: NoPrivateNetworkExceptRootPagesHttpClientがキャッシュしたホストのIPを固定しない
• GHSA-6m74-9w88-r3fh: 404ページでパンくずモジュールの挿入タグへの注入
• GHSA-5mg3-mv6j-57wc: 2FA(2ファクタ認証)を有効や無効に変更したときにセッションが無効化
• GHSA-pc2r-hvrc-f4v6: figure挿入タグにクロスサイトスクリプティング
• GHSA-rgq4-cg48-xjxj: バックエンドのログインでCSRF(クロスサイトリクエストフォージェリ)への防御が不十分
• GHSA-26h3-f97j-vj85: Contaoクローラーが機密なヘッダーを漏洩
• GHSA-9jfh-v443-w3fj: DC_Folder::editAllでファイルマウントのアクセス制御をバイパス
• GHSA-r7cf-mfp4-r23h: image挿入タグにデコード後の確認を経由したパストラバーサル
• GHSA-4mx5-xq7q-77cm: 古いRSSリーダーモジュールに検証していないフィードを経由したサーバー側のリクエストフォージェリ
• GHSA-58r4-2p86-jp4x: HTMLサニタイザーにDOMの書き換えを起こす脆弱性