CVE-2024-55924

TYPO3 pulsuz və açıq mənbəli Məzmun İdarəetmə Çərçivəsidir (Content Management Framework). Backend istifadəçi interfeysinin dərin keçidlərini (deep links) əhatə etdən funksionallığında zəiflik aşkar edilmişdir. Xüsusilə, bu funksionallıq Saytlararası Sorğu Saxtakarlığına (CSRF) qarşı həssasdır. Əlavə olaraq, aşağı axın komponentlərindəki vəziyyət dəyişdirici hərəkətlər HTTP GET vasitəsilə göndərilən sorğuları yanlış şəkildə qəbul etmiş və müvafiq HTTP metodunun tətbiqini təmin etməmişdir. Bu zəifliyin uğurlu istismarı üçün qurbanın backend istifadəçi interfeysində aktiv sessiyasının olması və backend-i hədəf alan zərərli URL ilə qarşılıqlı əlaqə qurmağa sövq edilməsi tələb olunur ki, bu da aşağıdakı şərtlər daxilində baş verə bilər: İstifadəçi e-poçt vasitəsilə göndərilən kimi bir zərərli keçidi açır. Aşağıdakı parametrlər yanlış konfiqurasiya edildikdə, istifadəçi kompromisə uğramış və ya manipulyasiya edilmiş veb sayta daxil olur: 1. `security.backend.enforceReferrer` funksiyası deaktiv edilib, 2. `BE/cookieSameSite` konfiqurasiyası lax və ya none olaraq təyin edilib. Təsirə məruz qalan aşağı axın komponenti olan “Scheduler Module”-dəki zəiflik hücumçulara öncədən təyin edilmiş əmr siniflərini tetikləməyə imkan verir ki, bu da ən pis halda məlumatların icazəsiz idxalına və ya ixracına səbəb ola bilər. İstifadəçilərə təsvir olunan problemi aradan qaldıran TYPO3 versiya 11.5.42 ELTS versiyasına yeniləməklə tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.