GHSA-hww5-6x85-mc24
GHSA-hww5-6x85-mc24 · Typo3 Arbitrary Code Execution and Cross-Site Scripting in Backend API
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Backend API configuration using Page TSconfig is vulnerable to arbitrary code execution and cross-site scripting. TSconfig fields of page properties in backend forms can be used to inject malicious sequences. Field tsconfig_includes is vulnerable to directory traversal leading to same scenarios as having direct access to TSconfig settings. A valid backend user account having access to modify values for fields pages.TSconfig and pages.tsconfig_includes is needed in order to exploit this vulnerability.
Correctif disponible
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
typo3/cms Packagist
- Versions du logiciel
- 8.0.0
- 8.0.1
- 8.1.0
- 8.1.1
- 8.1.2
- 8.2.0
- 8.2.1
- 8.3.0
- 8.3.1
- 8.4.0
- 8.4.1
- 8.5.0
- 8.5.1
- 8.6.0
- 8.6.1
- 8.7.0
- 8.7.1
- 8.7.2
- v8.7.10
- v8.7.11
- v8.7.12
- v8.7.13
- v8.7.14
- v8.7.15
- v8.7.16
- v8.7.17
- v8.7.18
- v8.7.19
- v8.7.20
- v8.7.21
- v8.7.22
- v8.7.23
- v8.7.24
- v8.7.25
- v8.7.26
- v8.7.3
- v8.7.4
- v8.7.5
- v8.7.6
- v8.7.7
- v8.7.8
- v8.7.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 8.0.0, < 8.7.27
Mettez à jour vers 8.7.27
typo3/cms Packagist
- Versions du logiciel
- v9.0.0
- v9.1.0
- v9.2.0
- v9.2.1
- v9.3.0
- v9.3.1
- v9.3.2
- v9.3.3
- v9.4.0
- v9.5.0
- v9.5.1
- v9.5.2
- v9.5.3
- v9.5.4
- v9.5.5
- v9.5.6
- v9.5.7
- Plages de versions concernées
- ECOSYSTEM: ≥ 9.0.0, < 9.5.8
Mettez à jour vers 9.5.8