CVE-2024-55922

إصدارات TYPO3 السابقة للإصدار 11.5.42 ELTS

إصدارات TYPO3 السابقة للإصدار 12.4.25 LTS

إصدارات TYPO3 السابقة للإصدار 13.4.3 LTS

تم تحديد ثغرة أمنية في وظائف واجهة المستخدم الخلفية المتعلقة بالروابط العميقة، وهي عرضة لهجمات تزوير الطلبات عبر المواقع (CSRF). فقد قبلت الإجراءات التي تغير الحالة في المكونات التابعة بشكل غير صحيح عمليات الإرسال عبر HTTP GET ولم تفرض طريقة HTTP المناسبة. ويتطلب الاستغلال الناجح أن يكون لدى الضحية جلسة عمل نشطة على واجهة المستخدم الخلفية وأن يتم خداعها للتفاعل مع عنوان URL ضار يستهدف الواجهة الخلفية. ويمكن أن يحدث ذلك عندما يفتح المستخدم رابطًا ضارًا أو يزور موقعًا إلكترونيًّا تم اختراقه في ظل وجود أخطاء في تكوين إعدادات معينة، مثل تعطيل ميزة security.backend.enforceReferrer أو ضبط إعداد BE/cookieSameSite على lax أو none. تسمح الثغرة الأمنية في المكون التابع المتأثر «Form Framework Module» للمهاجمين بالتلاعب بتعريفات النماذج الدائمة أو حذفها.

قم بالتحديث إلى إصدار TYPO3 11.5.42 ELTS لإصلاح المشكلة.

قم بالتحديث إلى إصدار TYPO3 12.4.25 LTS لإصلاح المشكلة.

قم بالتحديث إلى إصدار TYPO3 13.4.3 LTS لإصلاح المشكلة.

كحل مؤقت، ضع في اعتبارك تعطيل ميزة security.backend.enforceReferrer وتعيين إعداد BE/cookieSameSite على قيمة أكثر أمانًا حتى يتوفر تصحيح.

قم بتقييد الوصول إلى المكونات المعرضة للخطر