CVE-2024-55894

إصدارات TYPO3 الأقدم من 11.5.42 ELTS

إصدارات TYPO3 الأقدم من 12.4.25 LTS

إصدارات TYPO3 الأقدم من 13.4.3 LTS

تم تحديد ثغرة أمنية في وظيفة واجهة المستخدم للخلفية تتعلق بالروابط العميقة (deep links)، وهي عرضة لهجمات التزوير بين المواقع (CSRF). فقد كانت الإجراءات التي تغير الحالة في المكونات التابعة تقبل بشكل غير صحيح الطلبات عبر HTTP GET ولم تفرض طريقة HTTP المناسبة. يتطلب الاستغلال الناجح أن يكون لدى الضحية جلسة عمل نشطة في واجهة المستخدم للخلفية وأن يتم خداعها للتفاعل مع عنوان URL ضار موجه إلى الخلفية. وقد يحدث ذلك عندما يفتح المستخدم رابطًا ضارًا أو يزور موقعًا مخترقًا في الوقت الذي تكون فيه إعدادات معينة غير صحيحة، مثل تعطيل وظيفة security.backend.enforceReferrer أو تعيين الإعداد BE/cookieSameSite على القيمة lax أو none. تسمح الثغرة الأمنية في المكون المتأثر «وحدة المستخدم للخلفية» للمهاجمين ببدء عمليات إعادة تعيين كلمة المرور لمستخدمين آخرين في الخلفية أو إنهاء جلسات عملهم.

قم بالتحديث إلى الإصدار 11.5.42 ELTS من TYPO3 لحل المشكلة.

قم بالتحديث إلى الإصدار 12.4.25 LTS من TYPO3 لحل المشكلة.

قم بالتحديث إلى الإصدار 13.4.3 LTS من TYPO3 لحل المشكلة.

كحل مؤقت، ضع في اعتبارك تمكين ميزة `security.