Vulnerabilidad en TYPO3 (CVE-2024-55894)

TYPO3 es un framework gestor de contenidos gratuito y de código abierto. Se ha identificado una vulnerabilidad en la funcionalidad de la interfaz de usuario del backend que involucra enlaces profundos. Específicamente, esta funcionalidad es susceptible a Cross-Site Request Forgery (CSRF). Además, las acciones de cambio de estado en los componentes posteriores aceptaron incorrectamente los envíos a través de HTTP GET y no aplicaron el método HTTP apropiado. La explotación exitosa de esta vulnerabilidad requiere que la víctima tenga una sesión activa en la interfaz de usuario del backend y sea engañada para interactuar con una URL maliciosa dirigida al backend, lo que puede ocurrir bajo las siguientes condiciones: El usuario abre un enlace malicioso, como uno enviado por correo electrónico. El usuario visita un sitio web comprometido o manipulado mientras las siguientes configuraciones están mal configuradas: 1. La función `security.backend.enforceReferrer` está deshabilitada, 2. La configuración `BE/cookieSameSite` está establecida en lax o ninguna. La vulnerabilidad en el componente posterior afectado "Backend User Module" permite a los atacantes iniciar restablecimientos de contraseñas para otros usuarios del backend o finalizar sus sesiones de usuario. Se recomienda a los usuarios actualizar a las versiones TYPO3 11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS que solucionan el problema descrito.