There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - TYPO3 8.x before 8.7.25 and 9.x before 9.5.6 allows remote code execution because it does not properly
    configure the applications used for image processing, as demonstrated by ImageMagick or GraphicsMagick.
    (CVE-2019-11832)

远程主机上安装的 TYPO3 版本为低于 8.7.25 的 8.x 或低于 9.5.6 的 9.x。因此，该应用程序受到多个漏洞的影响：
  - Typo3 的图像处理功能中存在远程代码执行漏洞，这是未正确配置其委派的应用程序所致。未经身份验证的远程攻击者可利用此漏洞，在受影响的主机上执行任意命令 (CVE-2019-11832)。 

  - typo3/fluid 程序包中存在一个跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。

  - Typo3 的密码变更功能中存在会话劫持漏洞，这是未正确清理会话所致。经过身份验证的远程攻击者可利用此漏洞，使用另一位用户的权限，在用户或管理员界面执行操作。

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本

遠端主機上安裝的 TYPO3 版本為 8.7.25 之前的 8.x 版，或是 9.5.6 之前的 9.x 版。因此，會受到多個弱點影響：
  -Typo3 的影像處理功能中存在一個遠端程式碼執行弱點，這是因為無法正確設定委派它的應用程式所導致。未經驗證的遠端攻擊者可惡意利用此弱點在受影響的主機上執行任意命令 (CVE-2019-11832)。 

  - typo3/fluid 套件中存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。

  - Typo3 的密碼變更功能中存在一個工作階段劫持弱點，這是因為無法正確清理工作階段所致。經驗證的遠端攻擊者可惡意利用此弱點，使用另一位使用者的權限，在使用者或系統管理員介面內執行動作。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本

リモートホストにインストールされている TYPO3 のバージョンは、8.7.25 より前の 8.x または 9.5.6 より前の 9.x です。そのため、以下の複数の脆弱性の影響を受けます。
  - 委任先のアプリケーションを適切に構成できないため、Typo3 の画像処理機能にリモートコード実行の脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、影響を受けるホスト上で任意のコマンドを実行する可能性があります（CVE-2019-11832）。 

  - typo3/fluid パッケージに、ユーザーに返す前のユーザー指定入力が不適切に検証されていることによるクロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。

  - セッションを適切にクリーンアップできないため、Typo3 のパスワード変更機能にセッションハイジャックの脆弱性があります。認証されているリモート攻撃者がこれを悪用し、他のユーザーの権限を使ってユーザーまたは管理者のインターフェイスで操作を実行する可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョンにのみ依存しています。

The version of TYPO3 installed on the remote host is 8.x prior to 8.7.25 or 9.x prior to 9.5.6. It is, therefore, affected by multiple vulnerabilities:
  - A remote code execution vulnerability exists in Typo3's image processing functionality due to a failure to   properly configure applications it delegates this to. An unauthenticated, remote attacker can exploit this to   execute arbitrary commands on an affected host (CVE-2019-11832). 

  - A cross-site scripting (XSS) vulnerability exists in the typo3/fluid package due to improper validation   of user-supplied input before returning it to users. An unauthenticated, remote attacker can exploit   this, by convincing a user to click a specially crafted URL, to execute arbitrary script code in a   user's browser session.

  - A session hijacking vulnerability exists in Typo3's password change functionality due to a failure   to properly clean up sessions. An authenticated, remote attacker can exploit this to perform actions   in the user or administrator interface with the privileges of another user.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version

ID	名稱	產品	系列	已發布	已更新	嚴重性
434520	SCA: security update for typo3/cms, typo3/cms-core (GHSA-3w4h-r27h-4r2w)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	high
434520	SCA: security update for typo3/cms, typo3/cms-core (GHSA-3w4h-r27h-4r2w)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	high
138797	TYPO3 8.x < 8.7.25 / 9.x < 9.5.6 多个漏洞	Nessus	CGI abuses	2020/7/21	2025/5/14	high
138797	TYPO3 8.x < 8.7.25 / 9.x < 9.5.6 多個弱點	Nessus	CGI abuses	2020/7/21	2025/5/14	high
138797	TYPO3 8.x < 8.7.25 / 9.x < 9.5.6 の複数の脆弱性	Nessus	CGI abuses	2020/7/21	2025/5/14	high
138797	TYPO3 8.x < 8.7.25 / 9.x < 9.5.6 Multiple Vulnerabilities	Nessus	CGI abuses	2020/7/21	2025/5/14	high

偵測

搜尋 Plugin

high

high

high

high

high

high