PT-2025-3160
CVE-2024-55945
·
تاريخ النشر
2025-01-14
·
تاريخ التحديث
2025-08-26
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات TYPO3 الأقدم من 11.5.42 ELTS
الوصف
تم تحديد ثغرة أمنية في وظيفة واجهة المستخدم للواجهة الخلفية تتعلق بالروابط العميقة (deep links)، وهي عرضة لهجمات تزوير الطلبات عبر المواقع (CSRF). كانت إجراءات تغيير الحالة في المكونات التابعة تقبل بشكل غير صحيح عمليات الإرسال عبر HTTP GET ولم تفرض طريقة HTTP المناسبة. يتطلب الاستغلال الناجح أن يكون لدى الضحية جلسة عمل نشطة في واجهة المستخدم للخلفية وأن يتم خداعها للتفاعل مع عنوان URL ضار موجه إلى الخلفية. قد يحدث ذلك عندما يفتح المستخدم رابطًا ضارًا أو يزور موقعًا مخترقًا به إعدادات غير صحيحة، مثل تعطيل وظيفة
security.backend.enforceReferrer أو تعيين الإعداد BE/cookieSameSite على lax أو none. تسمح الثغرة الأمنية في المكون التابع المتأثر «وحدة DB Check» للمهاجمين بالتلاعب بالبيانات من خلال إجراءات غير مصرح بها.التوصيات
قم بالتحديث إلى الإصدار 11.5.42 ELTS من TYPO3 لإصلاح المشكلة الموصوفة. كحل مؤقت، ضع في اعتبارك تعطيل ميزة
security.backend.enforceReferrer وتعيين الإعداد BE/cookieSameSite على قيمة أكثر أمانًا حتى يتم تطبيق التحديث. قم بتقييد الوصول إلى «وحدة DB Check» لتقليل مخاطر الاستغلال. تجنب استخدام HTTP GET في الإجراءات التي تؤدي إلى تغيير الحالة في المكونات التابعة حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾