TYPO3 Web コンテンツ管理フレームワークに、いくつかのリモートの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-3628 バックエンドサブコンポーネントにより、リモートの認証されたユーザーが、フォームフィールドへの細工された入力を介して、暗号化キーを判別する可能性があります。

- CVE-2009-3629 バックエンドサブコンポーネントに存在する複数のクロスサイトスクリプティング（XSS）脆弱性により、リモートの認証されたユーザーが、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2009-3630 バックエンドサブコンポーネントにより、リモートの認証されたユーザーが、細工されたパラメーターを使用して、TYPO3 バックエンドフレームセットに任意の Web サイトを設置する可能性があります。

- CVE-2009-3631 DAM 拡張または ftp アップロードが有効になっている場合、バックエンドサブコンポーネントにより、リモートの認証されたユーザーが、ファイル名に存在するシェルのメタ文字を使用して、任意のコマンドを実行する可能性があります。

- CVE-2009-3632 Frontend Editing サブコンポーネントの従来型フロントエンド編集機能にある SQL インジェクションの脆弱性により、リモートの認証されたユーザーが、任意の SQL コマンドを実行する可能性があります。

- CVE-2009-3633 クロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が任意の Web スクリプトを注入する可能性があります。

- CVE-2009-3634 Frontend Login Box（別名 felogin）サブコンポーネントのクロスサイトスクリプティング（XSS）脆弱性により、リモートの攻撃者が任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2009-3635 Install Tool サブコンポーネントにより、リモートの攻撃者が、パスワードの md5 ハッシュのみを認証情報として使用することで、アクセス権を取得する可能性があります。

- CVE-2009-3636 Install Tool サブコンポーネントのクロスサイトスクリプティング（XSS）脆弱性により、リモートの攻撃者が、任意の Web スクリプトまたは HTML を注入する可能性があります。

TYPO3 develop team reports :

Affected versions: TYPO3 versions 4.0.13 and below, 4.1.12 and below, 4.2.9 and below, 4.3.0beta1 and below.

SQL injection, Cross-site scripting (XSS), Information disclosure, Frame hijacking, Remote shell command execution and Insecure Install Tool authentication/session handling.

Several remote vulnerabilities have been discovered in the TYPO3 web content management framework. The Common Vulnerabilities and Exposures project identifies the following problems :

  - CVE-2009-3628     The Backend subcomponent allows remote authenticated     users to determine an encryption key via crafted input     to a form field.

  - CVE-2009-3629     Multiple cross-site scripting (XSS) vulnerabilities in     the Backend subcomponent allow remote authenticated     users to inject arbitrary web script or HTML.

  - CVE-2009-3630     The Backend subcomponent allows remote authenticated     users to place arbitrary websites in TYPO3 backend     framesets via crafted parameters.

  - CVE-2009-3631     The Backend subcomponent, when the DAM extension or ftp     upload is enabled, allows remote authenticated users to     execute arbitrary commands via shell metacharacters in a     filename.

  - CVE-2009-3632     SQL injection vulnerability in the traditional frontend     editing feature in the Frontend Editing subcomponent     allows remote authenticated users to execute arbitrary     SQL commands.

  - CVE-2009-3633     Cross-site scripting (XSS) vulnerability allows remote     attackers to inject arbitrary web script.

  - CVE-2009-3634     Cross-site scripting (XSS) vulnerability in the Frontend     Login Box (aka felogin) subcomponent allows remote     attackers to inject arbitrary web script or HTML.

  - CVE-2009-3635     The Install Tool subcomponent allows remote attackers to     gain access by using only the password's md5 hash as a     credential.

  - CVE-2009-3636     Cross-site scripting (XSS) vulnerability in the Install     Tool subcomponent allows remote attackers to inject     arbitrary web script or HTML.

ID	名稱	產品	系列	已發布	已更新	嚴重性
44791	Debian DSA-1926-1 : typo3-src - 複数の脆弱性	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	high
42404	FreeBSD : typo3 -- multiple vulnerabilities in TYPO3 Core (6693bad2-ca50-11de-8ee8-00215c6a37bb)	Nessus	FreeBSD Local Security Checks	2009/11/6	2021/1/6	high
44791	Debian DSA-1926-1 : typo3-src - several vulnerabilities	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	high

偵測

搜尋 Plugin

high

high

high