SSRF-Lücke in der TYPO3-Extension „Base Excel“: Sofort handeln – und Updates mit Flatrate absichern
17.09.2025In der TYPO3-Extension „Base Excel“ steckt eine hochkritische SSRF-Schwachstelle (verwundbare phpoffice/phpspreadsheet-Version). Betroffen sind Stände bis 4.5.0; ein Fix liegt ab 5.1.0 vor. Agenturen und Reseller sollten jetzt umgehend alle Mandanteninstanzen inventarisieren, aktualisieren, Caches leeren, Import/Export prüfen, Egress-Filter für ausgehende Verbindungen setzen und Logs auf auffällige Requests prüfen. Für nachhaltige Sicherheit und planbare Budgets bieten wir eine TYPO3-Update-Flatrate: fortlaufende Pflege inklusive künftiger Major-Releases für 300 €/Monat. Initiale Major-Upgrades werden einmalig mit 3.600 € je Hauptversion berechnet (z. B. von v10 auf v12: 7.200 €, danach 300 €/Monat). Der Service richtet sich an Agenturen und Betreiber in Deutschland; auf Wunsch unterstützen wir zusätzlich mit Entwicklung (95 €/h) und Beratung (105 €/h).
In der TYPO3-Extension „Base Excel“ (base_excel) wurde eine Sicherheitslücke festgestellt: Das Paket enthält eine verwundbare Version der Bibliothek phpoffice/phpspreadsheet. Die Schwachstelle ermöglicht Server-Side Request Forgery (SSRF). Angreifende können dabei den Webserver dazu bringen, interne oder externe Ressourcen abzurufen, die normalerweise nicht erreichbar sein sollten. Mögliche Folgen reichen von der unbefugten Abfrage interner APIs bis hin zum Auslesen sensibler Metadaten in Cloud-Umgebungen. Die Einstufung ist hochkritisch und erfordert zügiges Handeln.
Betroffene Systeme und verfügbarer Fix
Betroffen sind Installationen der Extension in Version 4.5.0 und älter. Der Maintainer stellt eine bereinigte Version 5.1.0 bereit, die das unsichere Paket durch eine sichere Variante ersetzt. Wenn Sie die Erweiterung über Composer beziehen, prüfen Sie das Paket jambagecom/base-excel und aktualisieren Sie auf einen 5.1.x-Stand. Bei Installationen über den TYPO3 Extension Manager steht ebenso ein Update bereit. Ein Verbleib auf älteren Ständen sollte vermieden werden, selbst wenn die Funktionalität aktuell unauffällig wirkt.
Empfohlene Sofortmaßnahmen für Agenturen und Betreiber
- Inventarisieren Sie Ihre TYPO3-Instanzen: Ist „Base Excel“ installiert? Welche Version?
- Führen Sie das Update auf mindestens 5.1.0 durch und leeren Sie anschließend alle Caches. Testen Sie Import/Export-Funktionen umfassend.
- Härten Sie die Umgebung: Beschränken Sie ausgehende HTTP/HTTPS-Verbindungen des Webservers auf notwendige Ziele (Egress-Filter/Allowlist), um das SSRF-Risiko generell zu senken.
- Prüfen Sie Logdateien auf ungewöhnliche ausgehende Requests. Bei Verdacht: Zugangsdaten rotieren und weitere forensische Schritte einleiten.
- Planen Sie regelmäßige Sicherheits- und Update-Zyklen ein, um Abhängigkeiten von Core, Extensions und Third-Party-Bibliotheken aktuell zu halten.
Nachhaltig absichern: Unser Update-Service für TYPO3
Sicherheitsmeldungen wie diese zeigen: Der kritische Faktor ist nicht nur das einmalige Schließen der Lücke, sondern die verlässliche Aktualisierung der gesamten TYPO3-Landschaft über die Zeit. Genau hier setzt unsere Update-Flatrate an. Wir halten Ihre TYPO3-Installation laufend aktuell – inklusive künftiger Major-Releases – zu einem festen Preis von 300 € pro Monat. Betreiben Sie bereits eine ältere TYPO3-Version, führen wir zunächst die notwendigen Major-Upgrades durch: pro anstehender Hauptversion berechnen wir einmalig 3.600 €. Beispiel: von TYPO3 v10 auf v12 entspricht zwei Major-Schritten = 7.200 € initial, danach 300 € monatlich für das kontinuierliche Aktualisieren.
Die Flatrate eignet sich sowohl für Agenturen, die im Auftrag ihrer Kunden TYPO3-Webseiten betreiben, als auch für direkte Endkunden in Deutschland. Als technischer Umsetzungspartner übernehmen wir auf Wunsch auch Teilprojekte und spezifische Sicherheitsmaßnahmen rund um Ihre Extensions und Abhängigkeiten. Für individuelle Aufgaben stehen wir zusätzlich mit transparenten Stundensätzen zur Verfügung (95 € für Entwicklung, 105 € für Beratung), erstellen eine Budget- und Kostenschätzung und arbeiten agil bis zur Abnahme.
Wenn Sie Unterstützung beim schnellen Schließen der „Base Excel“-Lücke oder eine dauerhaft planbare Update-Strategie für Ihre TYPO3-Landschaft wünschen, sind wir gerne Ihr Partner – ausschließlich für Projekte innerhalb Deutschlands.
