testing-xss1 Meldung im Backend

Hi,
ein "Vulnerability Scanner" namens "nuclei" (https://github.com/projectdiscovery/nuclei) hat es geschafft über einen XSS Angriff (https://github.com/projectdiscovery/...ss-params.yaml) ein Stück JS Code in meine tl_visitors_searchengines Tabelle im Feld visitor_keywords einzuschleusen. Der ist nicht kritisch, stört aber bei Aufruf der Statistik im Backend.
Das äußert sich durch ein Popup mit der Meldung "testing-xss1".

In so einem Fall kann man sich behelfen, in dem man mit einem DB Tool die Tabelle bereinigt:

Code:

---

DELETE FROM `tl_visitors_searchengines` WHERE `visitors_keywords` LIKE '%testing-xss1%';

---

Ich werde das näher analysieren und für alle Visitors Versionen ein Bugfix implementieren. (der das höchst wahrscheinlich auch bereinigen wird)

Danke an Ben und Hagen für die Infos.

Frage an die Nutzer von Visitors:
Macht es Sinn solch einen Suchmaschinen Suchbegiff anzuzeigen? (mit htmlspecialchars codiert)

Code:

---

'>"<svg/onload=confirm('testing-xss1')>

---

Für Contao 4.9 und höher ist nun die Visitors Bundle Version 1.6.7 veröffentlicht.
Es behebt den Fehler und löscht die falschen Einträge in der Datenbank.

Für Contao 4.4 und Contao 3.5 wird ein Update folgen.

Für Contao 4.4 (und PHP 7) ist nun die Visitors Bundle Version 1.5.2.5 veröffentlicht.
Es behebt den Fehler und löscht die falschen Einträge in der Datenbank.

ACHTUNG: Ich habe leider derzeit keine lauffähig Contao 4.4 Version, daher konnte ich es nur rudimentär testen.
Wer es lokal kann (Contao 4.4 und PHP 7.4) sollte daher die Installation vorher darüber testen.

Für Contao 3.5 ist nun die Visitors Version 3.8.8 veröffentlicht. (nur über Composer oder manuell, in's ER2 kommt man ja nicht mehr ran)
Es behebt den Fehler und löscht die falschen Einträge in der Datenbank. (runonce)

Achtung: Vorsicht in Contao 3.5 mit Paketverwaltung, ich hoffe ihr habt das Composer Update abgeschaltet, sonst habt ihr plötzlich Composer 2 drauf und das geht schief.
Habs grad wieder rückgängig machen müssen.