PT-2025-3149

CVE-2024-55921

تاريخ النشر

2025-01-14

تاريخ التحديث

2025-08-26

الوصف من

CVSS 3.1

8.8

عالية

المقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات TYPO3 السابقة للإصدار 11.5.42 ELTS

إصدارات TYPO3 السابقة للإصدار 12.4.25 LTS

إصدارات TYPO3 السابقة للإصدار 13.4.3 LTS

الوصف

تم تحديد ثغرة أمنية في وظائف واجهة المستخدم الخلفية المتعلقة بالروابط العميقة، وهي عرضة لهجمات تزوير الطلبات عبر المواقع (CSRF). فقد قبلت الإجراءات التي تغير الحالة في المكونات التابعة بشكل غير صحيح عمليات الإرسال عبر HTTP GET ولم تفرض طريقة HTTP المناسبة. ويتطلب الاستغلال الناجح أن يكون لدى الضحية جلسة عمل نشطة على واجهة المستخدم الخلفية وأن يتم خداعها للتفاعل مع عنوان URL ضار يستهدف الواجهة الخلفية. ويمكن أن يحدث ذلك عندما يفتح المستخدم رابطًا ضارًا أو يزور موقعًا إلكترونيًّا تم اختراقه وتضمّن إعدادات غير صحيحة، مثل تعطيل ميزة security.backend.enforceReferrer أو ضبط إعداد BE/cookieSameSite على «lax» أو «none». تسمح الثغرة الأمنية في المكون التابع المتأثر «Extension Manager Module» للمهاجمين باسترداد وتثبيت ملحقات تابعة لجهات خارجية من مستودع ملحقات TYPO3، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.

التوصيات

قم بالتحديث إلى إصدار TYPO3 11.5.42 ELTS لإصلاح المشكلة الموصوفة.

قم بالتحديث إلى إصدار TYPO3 12.4.25 LTS لإصلاح المشكلة الموصوفة.

قم بالتحديث إلى إصدار TYPO3 13.4.3 LTS لإصلاح المشكلة الموصوفة.

كحل مؤقت، ضع في اعتبارك تعطيل ميزة security.backend.enforceReferrer وتعيين إعداد BE/cookieSameSite

قابلية الاستغلال

استغلال

إصلاح

التأثيرات

الباحثون

المورّدون

المنتجات المتأثرة