CVE-2024-55921

TYPO3 pulsuz və açıq mənbəli Məzmun İdarəetmə Çərçivəsidir (Content Management Framework). Backend istifadəçi interfeysinin dərin keçidlərini (deep links) əhatə edən funksionallığında zəiflik aşkar edilmişdir. Xüsusilə, bu funksionallıq Saytlararası Sorğu Saxtakarlığına (CSRF) qarşı həssasdır. Əlavə olaraq, aşağı axın komponentlərindəki vəziyyət dəyişdirici hərəkətlər HTTP GET vasitəsilə göndərilən sorğuları yanlış şəkildə qəbul etmiş və müvafiq HTTP metodunun tətbiqini təmin etməmişdir. Bu zəifliyin uğurlu istismarı üçün qurbanın backend istifadəçi interfeysində aktiv sessiyasının olması və backend-i hədəf alan zərərli URL ilə qarşılıqlı əlaqə qurmağa sövq edilməsi tələb olunur ki, bu da aşağıdakı şərtlər daxilində baş verə bilər: İstifadəçi e-poçt vasitəsilə göndərilən kimi bir zərərli keçidi açır. Aşağıdakı parametrlər yanlış konfiqurasiya edildikdə, istifadəçi kompromisə uğramış və ya manipulyasiya edilmiş vebsayta daxil olur: 1. `security.backend.enforceReferrer` funksiyası deaktiv edilib, 2. `BE/cookieSameSite` konfiqurasiyası lax və ya none olaraq təyin edilib. Təsirə məruz qalan aşağı axın komponenti olan “Extension Manager Module”-dəki zəiflik hücumçulara TYPO3 Extension Repository-dən üçüncü tərəf genişlənmələrini əldə etməyə və quraşdırmağa imkan verir ki, bu da ən pis halda uzaqdan kodun icrasına səbəb ola bilər. İstifadəçilərə təsvir olunan problemi aradan qaldıran TYPO3 versiyaları 11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS versiyalarına yeniləməklə tövsiyə olunur.