Vulnerabilidad en TYPO3 (CVE-2024-55924)

TYPO3 es un framework gestor de contenidos gratuito y de código abierto. Se ha identificado una vulnerabilidad en la funcionalidad de la interfaz de usuario del backend que involucra enlaces profundos. Específicamente, esta funcionalidad es susceptible a Cross-Site Request Forgery (CSRF). Además, las acciones de cambio de estado en los componentes posteriores aceptaron incorrectamente los envíos a través de HTTP GET y no aplicaron el método HTTP apropiado. La explotación exitosa de esta vulnerabilidad requiere que la víctima tenga una sesión activa en la interfaz de usuario del backend y sea engañada para interactuar con una URL maliciosa dirigida al backend, lo que puede ocurrir bajo las siguientes condiciones: El usuario abre un enlace malicioso, como uno enviado por correo electrónico. El usuario visita un sitio web comprometido o manipulado mientras las siguientes configuraciones están mal configuradas: 1. La función `security.backend.enforceReferrer` está deshabilitada, 2. La configuración `BE/cookieSameSite` está establecida en lax o ninguna. La vulnerabilidad en el componente afectado “Scheduler Module” permite a los atacantes activar clases de comandos predefinidos, lo que puede provocar la importación o exportación no autorizada de datos en el peor de los casos. Se recomienda a los usuarios que actualicen a la versión 11.5.42 ELTS de TYPO3, que soluciona el problema descrito. No se conocen Workarounds para esta vulnerabilidad.