CVE-2024-34358

Versões do TYPO3 anteriores à 9.5.48 ELTS

Versões do TYPO3 anteriores à 10.4.45 ELTS

Versões do TYPO3 anteriores à 11.5.37 LTS

Versões do TYPO3 anteriores à 12.4.15 LTS

Versões do TYPO3 anteriores à 13.1.1

O ShowImageController (eID tx cms showpic) não possui uma assinatura criptográfica HMAC no parâmetro de consulta HTTP frame, por exemplo, /index.php?eID=tx cms showpic?file=3&...&frame=12345. Isso permite que invasores instruam o sistema a gerar um número arbitrário de imagens em miniatura no lado do servidor.

Atualize para a versão 9.5.48 ELTS do TYPO3 ou posterior.

Atualize para a versão 10.4.45 ELTS do TYPO3 ou posterior.

Atualize para a versão 11.5.37 LTS do TYPO3 ou posterior.

Atualize para a versão 12.4.15 LTS do TYPO3 ou posterior.

Atualize para a versão 13.1.1 do TYPO3 ou posterior.

Como solução alternativa temporária, considere ignorar o parâmetro de consulta HTTP frame no ShowImageController até que um patch esteja disponível.

O novo sinalizador de recurso security.frontend.allowInsecureFrameOptionInShowImageController pode ser usado para reativar o comportamento anterior, mas está desativado por padrão.