CVE-2024-55922

TYPO3 pulsuz və açıq mənbəli Məzmun İdarəetmə Çərçivəsidir (Content Management Framework). Backend istifadəçi interfeysinin dərin keçidlərini (deep links) əhatə edən funksionallığında zəiflik aşkar edilmişdir. Xüsusilə, bu funksionallıq Saytlararası Sorğu Saxtakarlığına (CSRF) qarşı həssasdır. Bundan əlavə, aşağı axın komponentlərindəki vəziyyət dəyişdirici hərəkətlər HTTP GET vasitəsilə göndərilən sorğuları yanlış şəkildə qəbul etmiş və müvafiq HTTP metodunun tətbiqini təmin etməmişdir. Bu zəifliyin uğurlu istismarı üçün qurbanın backend istifadəçi interfeysində aktiv sessiyasının olması və backend-i hədəf alan zərərli URL ilə qarşılıqlı əlaqə qurmağa sövq edilməsi tələb olunur ki, bu da aşağıdakı şərtlər daxilində baş verə bilər: İstifadəçi e-poçt vasitəsilə göndərilən kimi bir zərərli keçidi açır. Aşağıdakı parametrlər yanlış konfiqurasiya edildikdə, istifadəçi kompromisə uğramış və ya manipulyasiya edilmiş vebsayta daxil olur: 1. `security.backend.enforceReferrer` funksiyası deaktiv edilib, 2. `BE/cookieSameSite` konfiqurasiyası lax və ya none olaraq təyin edilib. Təsirə məruz qalan aşağı axın komponenti olan “Form Framework Module”-dəki zəiflik hücumçulara yadda saxlanılmış forma təriflərini manipulyasiya etməyə və ya silməyə imkan verir. İstifadəçilərə təsvir olunan problemi aradan qaldıran TYPO3 versiyaları 11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS versiyalarına yeniləməklə tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.