PT-2024-40033 · Typo3 · Typo3

Publicado 2024-06-07 · Atualizado 2024-06-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Typo3 (versões afetadas não especificadas)

Descrição

O problema decorre da codificação inadequada das entradas do usuário, tornando a exibição do status de login suscetível a ataques de cross-site scripting no front-end do site. Para explorar essa vulnerabilidade, um invasor precisaria de uma conta de usuário válida, que poderia ser tanto de um usuário do back-end quanto de um usuário do front-end com permissão para modificar seu perfil de usuário. Especificamente, os padrões de template são afetados, incluindo FEUSER [fieldName] usando a extensão do sistema felogin e <!--USERNAME--> para renderização regular no front-end, onde o padrão pode ser definido individualmente usando a configuração do TypoScript config.USERNAME substToken.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

GHSA-2RCW-9HRM-8Q7Q

Produtos afetados

Typo3

Referências · 7

• https://github.com/FriendsOfPHP/security-advisories/blob/master/typo3/cms/2018-12-11-3.yaml · Nota
• https://github.com/TYPO3/typo3 · Nota
• https://github.com/TYPO3/typo3/commit/1c85fe70269e2ff8ecf0b6d5f16550c6cd0ddc78 · Nota
• https://github.com/TYPO3/typo3/commit/373bec5d7d415f0764ebbadc7970610dc26da068 · Nota
• https://github.com/TYPO3/typo3/commit/e4143195e1451630f058a58ab62d92135948a927 · Nota
• https://typo3.org/security/advisory/typo3-core-sa-2018-008 · Nota
• https://osv.dev/vulnerability/GHSA-2rcw-9hrm-8q7q · Aviso do Fabricante