PT-2022-16036 · Typo3 · Typo3

Sabine Deeken · Publicado 2022-12-13 · Atualizado 2024-03-06 · CVE-2022-23503

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do TYPO3 anteriores às 8.7.49, 9.5.38, 10.4.33, 11.5.20 e 12.1.1

Descrição

O problema diz respeito a uma vulnerabilidade de injeção de código no módulo backend Form Designer do TYPO3, um sistema de gerenciamento de conteúdo web de código aberto baseado em PHP. Devido à falta de separação entre os dados enviados pelo usuário e a configuração interna, é possível injetar instruções de código para serem processadas e executadas via TypoScript como código PHP. A existência de instruções TypoScript específicas para um determinado item do formulário, como formDefinitionOverrides, e uma conta de usuário válida no backend com acesso ao módulo de formulários são necessárias para explorar essa vulnerabilidade.

Recomendações

Atualize para as versões 8.7.49 ELTS, 9.5.38 ELTS, 10.4.33, 11.5.20 ou 12.1.1 do TYPO3 para corrigir o problema.

Como solução alternativa temporária, considere restringir o acesso ao módulo backend Form Designer para minimizar o risco de exploração.

Evite usar instruções TypoScript individuais para itens específicos do formulário até que o problema seja resolvido.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BIT-TYPO3-2022-23503

CVE-2022-23503

GHSA-C5WX-6C2C-F7RM

Produtos afetados

Typo3

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23503.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/typo3/cms-core/CVE-2022-23503.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/typo3/cms/CVE-2022-23503.yaml · Exploit
• https://github.com/TYPO3/typo3 · Nota
• https://github.com/TYPO3/typo3/commit/1302e88565821f2159e08b5d818d28de17ecc830 · Nota
• https://github.com/TYPO3/typo3/security/advisories/GHSA-c5wx-6c2c-f7rm · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-23503 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-typo3-2022-23503 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c5wx-6c2c-f7rm · Aviso do Fabricante
• https://t.me/cibsecurity/54499 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23503 · Aviso do Fabricante
• https://t.me/cvenotify/39831 · Publicação no Telegram
• https://typo3.org/security/advisory/typo3-core-sa-2022-015 · Nota