PT-2020-15899 · Typo3 · Typo3 Sf Event Mgt Extension

Torben Hansen · Publicado 2020-09-02 · Atualizado 2021-07-21 · CVE-2020-25026

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões da extensão TYPO3 sf event mgt anteriores à 4.3.1

Versões da extensão TYPO3 sf event mgt 5.x anteriores à 5.1.1

Descrição

A vulnerabilidade permite a divulgação de informações devido a falha no controle de acesso, afetando dados de participantes e dados de eventos por e-mail. A ausência de uma verificação de acesso no módulo de backend permite que um usuário autenticado do backend exporte dados de participantes de eventos aos quais não tem acesso. Outra falha na verificação de acesso permite que um usuário autenticado do backend envie e-mails a participantes de eventos aos quais não tem acesso.

Recomendações

Para versões anteriores à 4.3.1, atualize para a versão 4.3.1 ou posterior.

Para versões 5.x anteriores à 5.1.1, atualize para a versão 5.1.1 ou posterior.

Como solução temporária, considere restringir o acesso ao módulo backend para minimizar o risco de exploração.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2020-25026

GHSA-G8RG-7RPR-CWR2

Produtos afetados

Typo3 Sf Event Mgt Extension

Referências · 8

• https://github.com/derhansen/sf_event_mgt/commit/17edcbf608b252cc1123e1279f0735f6aa28fef4 · Nota
• https://github.com/derhansen/sf_event_mgt/security/advisories/GHSA-g8rg-7rpr-cwr2 · Nota
• https://typo3.org/help/security-advisories · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g8rg-7rpr-cwr2 · Aviso do Fabricante
• https://packagist.org/packages/derhansen/sf_event_mgt · Nota
• https://typo3.org/security/advisory/typo3-ext-sa-2020-017 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-25026 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-25026 · Nota de Segurança