TYPO3 8.x < 8.7.23 / 9.x < 9.5.4 の複数の脆弱性

medium Nessus プラグイン ID 138890

Language:

概要

リモート Web サーバーに含まれる PHP スクリプトは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている TYPO3 のバージョンは、8.7.23 より前の 8.x または 9.5.4 より前の 9.x です。そのため、以下の複数の脆弱性の影響を受けます。
- Typo3 にバンドルされているサードパーティコンポーネント Bootstrap に、ユーザーに返す前のユーザー指定入力が不適切に検証されていることによるクロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります（CVE-2018-14041）。

- 構成ブラックリストでの省略により、Typo3 にリモートコード実行の脆弱性があります。認証されているリモート攻撃者がこれを悪用し、影響を受けるホスト上で任意のコマンドを実行する可能性があります。

- Typo3 の RequireJS パッケージを適切に構成できないため、このパッケージに情報漏洩の脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、秘密情報を漏洩させる可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョンにのみ依存しています。