CVE-2021-41114
Açıklama
TYPO3, GNU GPL altında yayınlanan açık kaynaklı PHP tabanlı bir web içerik yönetim sistemidir. TYPO3 CMS'in, HTTP Host başlığının uygun şekilde doğrulanmaması nedeniyle host spoofing saldırılarına karşı savunmasız olduğu tespit edilmiştir. TYPO3, örneğin ön uç oluşturma işlemi sırasında mutlak URL'ler üretmek için HTTP Host başlığını kullanır. Host başlığı istemci tarafından sağlandığından, isim tabanlı sanal konaklama ortamlarında bile herhangi bir değerle taklit edilebilir. Bu zafiyet, TYPO3-CORE-SA-2014-001 (CVE-2014-3941) içerisinde açıklananla aynıdır. TYPO3 v11 geliştirme sürecinde ortaya çıkan bir regresyon bu duruma yol açmıştır. Önceki TYPO3 sürümlerinde etkili bir azaltma stratejisi olarak kullanılan mevcut $GLOBALS['TYPO3_CONF_VARS']['SYS']['trustedHostsPattern'] ayarı artık değerlendirilmemekte ve bu durum zafiyeti yeniden ortaya çıkarmaktadır.
Nasıl düzeltilir
- typo3 typo311.5.0 ya da sonraki bir sürüm
- typo3/cms-core11.5.0 ya da sonraki bir sürüm
- typo3/cms11.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 typo3 | 11.0.0 ≤ v < 11.5.0 | 11.5.0 |
| typo3/cms-corePackagist | 11.0.0 ≤ v < 11.5.0 | 11.5.0 |
| typo3/cmsPackagist | 11.0.0 ≤ v < 11.5.0 | 11.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.