CVE-2024-55922
Açıklama
TYPO3, ücretsiz ve açık kaynaklı bir İçerik Yönetim Çerçevesidir. Derin bağlantıları içeren arka uç kullanıcı arayüzü işlevselliğinde bir güvenlik açığı tespit edilmiştir. Özellikle bu işlevsellik, Siteler Arası İstek Sahteciliği (CSRF) saldırılarına karşı savunmasızdır. Ayrıca, alt bileşenlerdeki durum değiştiren eylemler, HTTP GET aracılığıyla gönderimleri hatalı şekilde kabul etmiş ve uygun HTTP yöntemini zorunlu kılmamıştır. Bu güvenlik açığının başarılı şekilde sömürülmesi, mağdurun arka uç kullanıcı arayüzünde etkin bir oturumunun olmasını ve arka ucu hedefleyen kötü amaçlı bir URL ile etkileşime girmeye kandırılmasını gerektirir; bu durum aşağıdaki koşullarda gerçekleşebilir: Kullanıcı, örneğin e-posta yoluyla gönderilen kötü amaçlı bir bağlantıyı açar. Kullanıcı, aşağıdaki ayarlar hatalı yapılandırılmışken ele geçirilmiş veya manipüle edilmiş bir web sitesini ziyaret eder: 1. `security.backend.enforceReferrer` özelliği devre dışıdır, 2. `BE/cookieSameSite` yapılandırması lax veya none olarak ayarlanmıştır. Etkilenen alt bileşen "Form Framework Module" içindeki güvenlik açığı, saldırganların kalıcı form tanımlarını manipüle etmesine veya silmesine olanak tanır. Kullanıcıların, açıklanan sorunu gideren TYPO3 sürümleri 11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS'ye güncelleme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- typo3 typo310.4.48, 11.5.42, 12.4.25, 13.4.3 ya da sonraki bir sürüm
- typo3/cms-form10.4.48, 11.5.42, 12.4.25, 13.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 typo3 | 10.0.0 ≤ v < 10.4.48, 11.0.0 ≤ v < 11.5.42, 12.0.0 ≤ v < 12.4.25, 13.0.0 ≤ v < 13.4.3 | 10.4.48, 11.5.42, 12.4.25, 13.4.3 |
| typo3/cms-formPackagist | 10.0.0 ≤ v < 10.4.48, 11.0.0 ≤ v < 11.5.42, 12.0.0 ≤ v < 12.4.25, 13.0.0 ≤ v < 13.4.3 | 10.4.48, 11.5.42, 12.4.25, 13.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.