2021-1694: TYPO3 und TYPO3 Extensions: Mehrere Schwachstellen ermöglichen u. a. Cross-Site-Scripting-Angriffe

Historie:

Version 1 (2021-08-10 19:00)

Neues Advisory

Betroffene Software

Server

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Informationen auszuspähen, Privilegien zu eskalieren und mehrere Cross-Site-Scripting (XSS)-Angriffe durchzuführen. Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung der meisten Schwachstellen kann Einfluss auf andere Komponenten haben.

Der Hersteller informiert über die Schwachstellen und empfiehlt ein Update von Typo3 auf die Versionen 7.6.53 ELTS, 8.7.42 ELTS, 9.5.29, 10.4.19 sowie 11.3.2.

Für die Typo3-Erweiterungen 'yoast_seo', 'miniorange_saml', 'deferred_image_processing' und 'routes' stehen neue Versionen zur Behebung der entsprechenden Schwachstellen zum Download bereit. Als Ersatz für die Erweiterung 'femanager' wird die Verwendung der Erweiterung 'svg_sanitizer' empfohlen. Die Erweiterungen 'dated_news' und 'newsletter' stehen nicht mehr zum Download zur Verfügung und ihre Deinstallation wird empfohlen.

Schwachstellen:

CVE-2021-32768

Schwachstelle in TYPO3 ermöglicht Cross-Site-Scripting-Angriff

CVE-2021-36785

Schwachstelle in TYPO3-Erweiterung miniorange_saml ermöglicht u. a. Cross-Site-Scripting-Angriff

CVE-2021-36786

Schwachstelle in TYPO3-Erweiterung miniorange_saml ermöglicht u. a. Cross-Site-Scripting-Angriff

CVE-2021-36787

Schwachstelle in TYPO3-Erweiterung femanager ermöglicht Cross-Site-Scripting-Angriff

CVE-2021-36788

Schwachstelle in TYPO3-Erweiterung yoast_seo ermöglicht Cross-Site-Scripting-Angriff

CVE-2021-36789

Schwachstelle in TYPO3-Erweiterung dated_news ermöglicht SQL-Injection-Angriff

CVE-2021-36790

Schwachstelle in TYPO3-Erweiterung dated_news ermöglicht Cross-Site-Scripting-Angriff

CVE-2021-36791

Schwachstelle in TYPO3-Erweiterung dated_news ermöglicht Ausspähen von Informationen

CVE-2021-36792

Schwachstelle in TYPO3-Erweiterung dated_news ermöglicht Privilegieneskalation

CVE-2021-36793

Schwachstelle in TYPO3-Erweiterung routes ermöglicht Ausspähen von Informationen

CVE-2021-38302

Schwachstelle in TYPO3-Erweiterung newsletter ermöglicht SQL-Injection-Angriff

TYPO3-EXT-SA-2021-009

Schwachstelle in TYPO3-Erweiterung deferred_image_processing ermöglicht Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.