CVE-2026-49738
Açıklama
GeneralUtility::isAllowedAbsPath() içindeki yol izin denetimi, dizin ayırıcı sınırı gerektirmeden düz bir dize öneki karşılaştırması yapıyordu; bu nedenle proje kökü /var/www/html iken /var/www/html-other/secret.yaml gibi bir yol yanlışlıkla geçerli kabul ediliyordu. File Abstraction Layer'a erişimi olan yönetici kullanıcılar, proje kökü dışındaki dizinleri işaret eden yeni dosya depolama tanımları oluşturarak bu yol denetimini atlatabiliyordu. Bu sorun TYPO3 CMS'in 10.4.57, 11.0.0-11.5.50, 12.0.0-12.4.45, 13.0.0-13.4.30 ve 14.0.0-14.3.2 sürümlerinden önceki sürümlerini etkiler.
Nasıl düzeltilir
- typo3/cms-core10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3/cms-corePackagist | v < 10.4.57, 11.0.0 ≤ v < 11.5.51, 12.0.0 ≤ v < 12.4.46, 13.0.0 ≤ v < 13.4.31, 14.0.0 ≤ v < 14.3.3 | 10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.