CVE-2024-55924

TYPO3, ücretsiz ve açık kaynaklı bir İçerik Yönetim Çerçevesidir. Derin bağlantıları içeren arka uç kullanıcı arayüzü işlevselliğinde bir güvenlik açığı tespit edilmiştir. Spesifik olarak, bu işlevsellik Siteler Arası İstek Sahteciliği'ne (CSRF) karşı hassastır. Ek olarak, alt bileşenlerdeki durum değiştirici eylemler, HTTP GET üzerinden gönderilen istekleri hatalı şekilde kabul etmiş ve uygun HTTP yöntemini zorunlu kılmamıştır. Bu güvenlik açığının başarıyla istismar edilmesi için kurbanın arka uç kullanıcı arayüzünde aktif bir oturumunun olması ve arka ucu hedefleyen kötü amaçlı bir URL ile etkileşime girmesi gerekir; bu durum aşağıdaki koşullar altında gerçekleşebilir: Kullanıcı, e-posta yoluyla gönderilenler gibi kötü amaçlı bir bağlantıyı açtığında veya şu ayarlar yanlış yapılandırılmışken ele geçirilmiş ya da manipüle edilmiş bir web sitesini ziyaret ettiğinde: 1. `security.backend.enforceReferrer` özelliği devre dışıysa, 2. `BE/cookieSameSite` yapılandırması lax veya none olarak ayarlanmışsa. Etkilenen alt bileşen olan “Scheduler Module”deki güvenlik açığı, saldırganların önceden tanımlanmış komut sınıflarını tetiklemesine izin verir; bu durum en kötü senaryoda verilerin yetkisiz şekilde içe aktarılmasına veya dışa aktarılmasına yol açabilir. Kullanıcıların, açıklanan sorunu gideren TYPO3 versiyonları 11.5.42 ELTS sürümüne güncellemeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.