Vulnerabilidad en TYPO3 (CVE-2022-36107)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
13/09/2022
Última modificación:
16/09/2022
Descripción
TYPO3 es un sistema de administración de contenidos web de código abierto basado en PHP y publicado bajo la licencia GNU GPL. Se ha detectado que el "FileDumpController" (contexto de backend y frontend) es vulnerable a un ataque de tipo cross-site scripting cuando son mostrados archivos maliciosos usando este componente. Es necesaria una cuenta de usuario de backend válida para explotar esta vulnerabilidad. Actualice a TYPO3 versiones 7.6.58 ELTS, 8.7.48 ELTS, 9.5.37 ELTS, 10.4.32 o 11.5.16 que corrigen el problema. No se presentan mitigaciones conocidas para este problema
Impacto
Puntuación base 3.x
5.40
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:typo3:typo3:*:*:*:*:*:*:*:* | 7.0.0 (incluyendo) | 7.6.57 (incluyendo) |
| cpe:2.3:a:typo3:typo3:*:*:*:*:*:*:*:* | 8.0.0 (incluyendo) | 8.7.47 (incluyendo) |
| cpe:2.3:a:typo3:typo3:*:*:*:*:*:*:*:* | 9.0.0 (incluyendo) | 9.5.36 (incluyendo) |
| cpe:2.3:a:typo3:typo3:*:*:*:*:*:*:*:* | 10.0.0 (incluyendo) | 10.4.31 (incluyendo) |
| cpe:2.3:a:typo3:typo3:*:*:*:*:*:*:*:* | 11.0.0 (incluyendo) | 11.5.15 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página