Sicherheitsupdate für TYPO3 Versionen 8 bis 12
Das TYPO3 Security Team hat heute neue TYPO3 Versionen veröffentlicht. Diese schließen drei Sicherheitslücken.
TYPO3-CORE-SA-2023-002:
By-passing Cross-Site Scripting Protection in HTML Sanitizer
Betroffene Komponente: HTML Sanitizer (Bereinigen von HTML Code)
Art der Sicherheitslücke: Cross-Site-Scripting
Schweregrad: mittel
Betroffene TYPO3 Versionen: 8.7.42-8.7.52, 9.5.29-9.5.41, 10.4.19-10.4.38, 11.3.2-11.5.29, 12.0.0-12.4.3
Details: Durch einen Fehler bei der Serialisierung von Daten, wird bösartiger Code innerhalb eines noscript-Elements nicht korrekt kodiert. noscript ist standardmäßig deaktiviert, kann aber in bestimmten Fällen vom Betreuer/Ersteller der Webseite aktiviert worden sein.
TYPO3-CORE-SA-2023-003:
Information Disclosure due to Out-of-scope Site Resolution
Betroffene Komponente: TYPO3 CMS
Art der Sicherheitslücke: Unbeabsichtigte Freigabe von Informationen
Schweregrad: niedrig
Betroffene TYPO3 Versionen: 9.4.0-9.5.41, 10.0.0-10.4.38, 11.0.0-11.5.29, 12.0.0-12.4.3
Details: In TYPO3 Installationen mit mehreren Webseiten kann durch Manipulation der id- und L-Parameter ggf. auf interne Seiten zugegriffen werden.
TYPO3-CORE-SA-2023-004:
Cross-Site Scripting in CKEditor4 WordCount Plugin
Betroffene Komponente: Rich-Text-Editor CKEditor 4 (Extension rte_ckeditor)
Art der Sicherheitslücke: Cross-Site-Scripting
Schweregrad: mittel
Betroffene TYPO3 Versionen: 9.5.0-9.5.41, 10.0.0-10.4.38, 11.0.0-11.5.29
Details: Das WordCount Plugin für den CKEditor 4 ist anfällig für Cross-Site-Scripting wenn in die Quellcode Ansicht gewechselt wird. Das Plugin ist nur in der Full.yaml Konfiguration aktiv, nicht aber in der Default.yaml Konfiguration. Die Sicherheitslücke kann in der Regel nur von einen angemeldeten Redakteur ausgenutzt werden, es sei denn, es wird auf der Webseite die Möglichkeit zur Eingabe von Rich-Text angeboten.
