PT-2024-31491 · Typo3 · Powermail Extension

Oliver Hader · Publicado 2024-08-28 · Atualizado 2024-09-02 · CVE-2024-45233

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões da extensão powermail até a 12.3.5 para TYPO3

Descrição

Foi descoberta uma falha na extensão powermail, resultando em falha no controle de acesso devido à ausência ou implementação insuficiente de verificações de acesso em várias ações do OutputController. Isso permite que um invasor não autenticado edite, atualize, exclua ou exporte dados de formulários persistentes quando os plug-ins do Powermail Frontend são utilizados.

Recomendações

Para versões até a 12.3.5, atualize para a versão 7.5.0, 8.5.0, 10.9.0 ou 12.4.0 para resolver o problema.

Como solução temporária, considere restringir o acesso aos plug-ins do Powermail Frontend até que um patch seja aplicado.

Evite usar as ações vulneráveis no OutputController até que o problema seja resolvido.

Correção

Improper Access Control

Improper Authorization

Enumeração de Fraquezas

CWE-284

CWE-285

Identificadores relacionados

CVE-2024-45233

GHSA-9JQR-5X45-PGW8

Produtos afetados

Powermail Extension

Referências · 15

• https://github.com/in2code-de/powermail · Nota
• https://github.com/in2code-de/powermail/commit/04a010c4009202e8e1b4c72accd4d7b2771b80b3 · Nota
• https://github.com/in2code-de/powermail/commit/f56f8eefe151ad67cbd32c21f1106953b8e4f19f · Nota
• https://github.com/in2code-de/powermail/commit/6e94ec5e0c7b553c467b826df1b922db6c2ad08e · Nota
• https://github.com/in2code-de/powermail/commit/2c8a1bf7669eb0661e8a93164f57e4b653ac3408 · Nota
• https://t.me/cvedetector/4364 · Publicação no Telegram
• https://twitter.com/cracbot/status/1830848238351720698 · Publicação no Twitter
• https://twitter.com/CVESource/status/1828955880294924547 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45233 · Nota de Segurança
• https://twitter.com/cracbot/status/1830123588592222280 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1828938059246907707 · Publicação no Twitter
• https://typo3.org/security/advisory/typo3-ext-sa-2024-006 · Nota
• https://osv.dev/vulnerability/CVE-2024-45233 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9jqr-5x45-pgw8 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1829164696672346541 · Publicação no Twitter