遠端主機上安裝的 TYPO3 版本為 8.7.27 之前的 8.x 版，或是 9.5.8 之前的 9.x 版。因此，會受到多個弱點影響：
  - Typo3 的 FormEngine 和 DataHandler 元件中存在一個不安全的還原序列化弱點。
  未經驗證的遠端攻擊者可透過傳送特製物件的方式在受影響的主機上執行任意程式碼 (CVE-2019-12747)。

  - Typo3 的 Page TSConfig 元件中存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。

  - Typo3 的 Page TSConfig 元件中存在一個遠端程式碼執行弱點，這是因為未充分驗證使用者提供的輸入所造成。未經驗證的遠端攻擊者可惡意利用此弱點在受影響的主機上執行任意命令。

  - Typo3 中存在資訊洩漏弱點。未經驗證的遠端攻擊者可惡意利用此弱點來洩漏可能的敏感資訊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本

远程主机上安装的 TYPO3 版本为低于 8.7.27 的 8.x 或低于 9.5.8 的 9.x。因此，该应用程序受到多个漏洞的影响：
  - Typo3 的 FormEngine 和 DataHandler 组件中存在不安全的反序列化漏洞。
  未经身份验证的远程攻击者可以发送特别构建的对象，在受影响的主机上执行任意代码 (CVE-2019-12747)。

  - Typo3 的 Page TSConfig 组件中存在跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。

  - Typo3 的 Page TSConfig 组件中存在远程代码执行漏洞，这是未充分验证用户提供的输入所致。未经身份验证的远程攻击者可利用此问题，在受影响的主机上执行任意命令。

  Typo3 中存在信息泄露漏洞。未经身份验证的远程攻击者可利用此问题泄露潜在的敏感信息。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本进行判断

The version of TYPO3 installed on the remote host is 8.x prior to 8.7.27 or 9.x prior to 9.5.8. It is, therefore, affected by multiple vulnerabilities:
  - An insecure deserialization vulnerability exists in Typo3's FormEngine & DataHandler components.
  An unauthenticated, remote attacker, by sending a specially crafted object, to execute arbitrary code   on an affected host (CVE-2019-12747).

  - A cross-site scripting (XSS) vulnerability exists in Typo3's Page TSConfig component due to improper   validation of user-supplied input before returning it to users. An unauthenticated, remote attacker   can exploit this, by convincing a user to click a specially crafted URL, to execute arbitrary script   code in a user's browser session.

  - A remote code execution vulnerability exists in Typo3's Page TSConfig component due to insufficient   validation of user-supplied input. An unauthenticated, remote attacker can exploit this execute arbitrary   commands on an affected host.

  - An information disclosure vulnerability exists in Typo3. An unauthenticated, remote attacker can exploit   this to disclose potentially sensitive information.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version

TYPO3 news :

Please read the corresponding Security Advisories for details.

リモートホストにインストールされている TYPO3 のバージョンは、8.7.27 より前の 8.x または 9.5.8 より前の 9.x です。そのため、以下の複数の脆弱性の影響を受けます。
  - Typo3 の FormEngine コンポーネントおよび DataHandler コンポーネントに、安全でない逆シリアル化の脆弱性があります。
  認証されていないリモート攻撃者が、巧妙に作りこまれたオブジェクトを送信して、影響を受けるホストで任意のコードを実行する可能性があります (CVE-2019-12747)。

  - Typo3 の Page TSConfig コンポーネントに、ユーザーに返す前のユーザー指定入力が不適切に検証されていることによるクロスサイトスクリプティング (XSS) の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。

  - ユーザー指定の入力の検証が不十分なため、Typo3 の Page TSConfig コンポーネントにリモートコード実行の脆弱性が存在します。認証されていないリモート攻撃者がこれを悪用し、影響を受けるホスト上で任意のコマンドを実行する可能性があります。

  - Typo3 に情報漏洩の脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、秘密情報を漏洩させる可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョンにのみ依存しています。

TYPO3 ニュース: 

詳細については、対応するセキュリティアドバイザリをお読みください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
138612	TYPO3 8.x < 8.7.27 / 9.x < 9.5.8 多個弱點	Nessus	CGI abuses	2020/7/20	2024/6/5	high
138612	TYPO3 8.x < 8.7.27 / 9.x < 9.5.8 多个漏洞	Nessus	CGI abuses	2020/7/20	2024/6/5	high
138612	TYPO3 8.x < 8.7.27 / 9.x < 9.5.8 Multiple Vulnerabilities	Nessus	CGI abuses	2020/7/20	2024/6/5	high
126365	FreeBSD : TYPO3 -- multiple vulnerabilities (5e35cfba-9994-11e9-b07f-df5abf8b84d6)	Nessus	FreeBSD Local Security Checks	2019/7/1	2024/5/13	high
138612	TYPO3 8.x < 8.7.27 / 9.x < 9.5.8 の複数の脆弱性	Nessus	CGI abuses	2020/7/20	2024/6/5	high
126365	FreeBSD: TYPO3 -- 複数の脆弱性 (5e35cfba-9994-11e9-b07f-df5abf8b84d6)	Nessus	FreeBSD Local Security Checks	2019/7/1	2024/5/13	high

偵測

搜尋 Plugin

high

high

high

high

high

high