Vulnerabilidad en TYPO3 (CVE-2024-55893)

TYPO3 es un framework gestor de contenidos gratuito y de código abierto. Se ha identificado una vulnerabilidad en la funcionalidad de la interfaz de usuario del backend que involucra enlaces profundos. Específicamente, esta funcionalidad es susceptible a Cross-Site Request Forgery (CSRF). Además, las acciones de cambio de estado en los componentes posteriores aceptaron incorrectamente los envíos a través de HTTP GET y no aplicaron el método HTTP apropiado. La explotación exitosa de esta vulnerabilidad requiere que la víctima tenga una sesión activa en la interfaz de usuario del backend y sea engañada para interactuar con una URL maliciosa dirigida al backend, lo que puede ocurrir bajo las siguientes condiciones: El usuario abre un enlace malicioso, como uno enviado por correo electrónico. El usuario visita un sitio web comprometido o manipulado mientras las siguientes configuraciones están mal configuradas: 1. La función `security.backend.enforceReferrer` está deshabilitada, 2. La configuración `BE/cookieSameSite` está establecida en lax o ninguna. La vulnerabilidad en el componente posterior afectado "Módulo de registro" permite a los atacantes eliminar entradas de registro. Se recomienda a los usuarios que actualicen a las versiones 11.5.42 ELTS, 12.4.25 LTS y 13.4.3 LTS de TYPO3, que solucionan el problema descrito. No se conocen Workarounds para esta vulnerabilidad.