PT-2025-3152
CVE-2024-55924
·
تاريخ النشر
2025-01-14
·
تاريخ التحديث
2025-08-26
الوصف من
CVSS 3.1
8.0
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات TYPO3 الأقدم من 11.5.42 ELTS
الوصف
تم تحديد ثغرة أمنية في وظيفة واجهة المستخدم الخاصة بالواجهة الخلفية (backend) المتعلقة بالروابط العميقة (deep links)، وهي عرضة لهجمات تزوير الطلبات عبر المواقع (CSRF). كانت إجراءات تغيير الحالة في المكونات التابعة تقبل بشكل غير صحيح عمليات الإرسال عبر HTTP GET ولم تفرض طريقة HTTP المناسبة. يتطلب الاستغلال الناجح أن يكون لدى الضحية جلسة عمل نشطة في واجهة المستخدم للخلفية وأن يتم خداعها للتفاعل مع عنوان URL ضار موجه إلى الخلفية. قد يحدث ذلك عندما يفتح المستخدم رابطًا ضارًا أو يزور موقعًا مخترقًا في حين أن إعدادات معينة غير صحيحة، مثل تعطيل الميزة
security.backend.enforceReferrer أو تعيين الإعداد BE/cookieSameSite على القيمة lax أو none. تسمح الثغرة الأمنية في المكون المتأثر في المرحلة التالية «وحدة جدولة المهام» للمهاجمين بتشغيل فئات أوامر محددة مسبقًا، مما قد يؤدي إلى استيراد أو تصدير البيانات دون إذن.التوصيات
قم بالتحديث إلى الإصدار 11.5.42 ELTS من TYPO3 لإصلاح المشكلة الموصوفة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى «وحدة جدولة المهام» المعرضة للثغرة حتى يتم تطبيق التحديث. بالإضافة إلى ذلك، تأكد من تمكين الميزة
security.backend.enforceReferrer ومن تعيين الإعداد BE/cookieSameSite بقيمة آمنة paقابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾