TYPO3 8.x < 8.7.25 / 9.x < 9.5.6 多個弱點

high Nessus Plugin ID 138797

語系：

概要

遠端 Web 伺服器中有一個 PHP 指令碼受到多個弱點影響。

說明

遠端主機上安裝的 TYPO3 版本為 8.7.25 之前的 8.x 版，或是 9.5.6 之前的 9.x 版。因此，會受到多個弱點影響：
-Typo3 的影像處理功能中存在一個遠端程式碼執行弱點，這是因為無法正確設定委派它的應用程式所導致。未經驗證的遠端攻擊者可惡意利用此弱點在受影響的主機上執行任意命令 (CVE-2019-11832)。

- typo3/fluid 套件中存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。

- Typo3 的密碼變更功能中存在一個工作階段劫持弱點，這是因為無法正確清理工作階段所致。經驗證的遠端攻擊者可惡意利用此弱點，使用另一位使用者的權限，在使用者或系統管理員介面內執行動作。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本