PT-2024-40308 · Typo3 · Typo3

Publicado 2024-06-05 · Atualizado 2024-06-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

TYPO3 (versões afetadas não especificadas)

Descrição

O problema decorre do fato de o processamento de solicitações do Extbase não implementar verificações de acesso adequadas para as combinações de controlador/ação solicitadas. Isso permite que um invasor execute ações arbitrárias do Extbase criando uma solicitação especial, desde que tenha acesso a pelo menos uma ação de plugin ou módulo do Extbase em uma instalação do TYPO3. A falta de verificação de acesso pode levar à divulgação de informações ou à execução remota de código, dependendo da ação que o invasor executar.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Identificadores relacionados

GHSA-GWFX-P7MR-F92V

Produtos afetados

Typo3

Referências · 3

• https://github.com/FriendsOfPHP/security-advisories/blob/master/typo3/cms/2016-05-24-1.yaml · Nota
• https://osv.dev/vulnerability/GHSA-gwfx-p7mr-f92v · Aviso do Fabricante
• https://web.archive.org/web/20160606110438/https://typo3.org/teamssecuritysecurity-bulletins/security-bulletins-single-view/article/missing-access-check-in-typo3-cms · Nota