Sicherheitsupdate für TYPO3 Versionen 8 bis 12 - 11/2023
Das TYPO3 Security Team hat gestern neue TYPO3 Versionen veröffentlicht. Diese schließen drei Sicherheitslücken.
TYPO3-CORE-SA-2023-007:
By-passing Cross-Site Scripting Protection in HTML Sanitizer
Betroffene Komponente: HTML Sanitizer (Bereinigen von HTML Code)
Art der Sicherheitslücke: Cross-Site-Scripting
Schweregrad: mittel
Betroffene TYPO3 Versionen: 8.7.42-8.7.54, 9.5.29-9.5.43, 10.4.19-10.4.40, 11.3.2-11.5.32, 12.0.0-12.4.7
Details: DOM-Verarbeitungsanweisungen werden nicht korrekt verarbeitet. Dies ermöglicht die Umgehung des Cross-Site-Scripting-Mechanismus von typo3/html-sanitizer.
TYPO3-CORE-SA-2023-006:
Weak Authentication in Session Handling
Betroffene Komponente: TYPO3 CMS (ext:core)
Art der Sicherheitslücke: Unbeabsichtigte Freigabe von Informationen
Schweregrad: mittel
Betroffene TYPO3 Versionen: 8.0.0-8.7.54, 9.0.0-9.5.43, 10.0.0-10.4.40, 11.0.0-11.5.32, 12.0.0-12.4.7
Details: Vorausgesetzt, dass es in derselben TYPO3-Installation mindestens zwei verschiedene Sites gibt – zum Beispiel first.example.org und second.example.com – kann ein für die erste Site generiertes Sitzungscookie auf der zweiten Site wiederverwendet werden, ohne dass eine zusätzliche Authentifizierung erforderlich ist.
TYPO3-CORE-SA-2023-005:
Information Disclosure in Install Tool
Betroffene Komponente: TYPO3 CMS (ext:install)
Art der Sicherheitslücke: Unbeabsichtigte Freigabe von Informationen
Schweregrad: niedrig
Betroffene TYPO3 Versionen: 12.2.0-12.4.7
Details: Der Anmeldebildschirm des eigenständigen Installationstools zeigt den vollständigen Pfad des transienten Datenverzeichnisses an (z. B. /var/www/html/var/transient/). Dies gilt nur für Composer-basierte Szenarien – „klassische“ Nicht-Composer-Installationen sind nicht betroffen.
