Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-05949

Опубликовано: 20 мая 2025
Источник: fstec
CVSS3: 3.3
CVSS2: 3.6
EPSS Низкий

Описание

Уязвимость расширения Webhooks системы управления контентом TYPO3 связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку

Вендор

TYPO3

Наименование ПО

TYPO3

Версия ПО

от 12.0.0 до 12.4.31 (TYPO3)
от 13.0.0 до 13.4.12 (TYPO3)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,6)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://typo3.org/security/advisory/typo3-core-sa-2025-012
Для снижения потенциальных рисков SSRF-атаки через веб-перехватчики рекомендуется разрешить доступ только доверенным хостам. Этого можно добиться, настроив список разрешенных в $GLOBALS['TYPO3_CONF_VARS']['HTTP']['allowed_hosts']['webhooks'] .
Если список разрешенных не определен или установлен в null , все запросы будут разрешены.
Если список разрешенных представляет собой пустой массив , все запросы будут заблокированы.
По умолчанию заводская настройка разрешает все запросы. Это предотвращает сбой существующих веб-перехватчиков после обновления до затронутых версий TYPO3. Администраторы должны вручную настроить этот параметр, чтобы обеспечить соблюдение ограничений.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 13%
0.00043
Низкий

3.3 Low

CVSS3

3.6 Low

CVSS2

Связанные уязвимости

CVSS3: 3.3
nvd
9 месяцев назад

TYPO3 is an open source, PHP based web content management system. In versions on the 12.x branch prior to 12.4.31 LTS and the 13.x branch prior to 13.4.2 LTS, Webhooks are inherently vulnerable to Cross-Site Request Forgery (CSRF), which can be exploited by adversaries to target internal resources (e.g., localhost or other services on the local network). While this is not a vulnerability in TYPO3 itself, it may enable attackers to blindly access systems that would otherwise be inaccessible. An administrator-level backend user account is required to exploit this vulnerability. Users should update to TYPO3 version 12.4.31 LTS or 13.4.12 LTS to fix the problem.

CVSS3: 3.3
github
9 месяцев назад

TYPO3 CMS Webhooks Server Side Request Forgery

EPSS

Процентиль: 13%
0.00043
Низкий

3.3 Low

CVSS3

3.6 Low

CVSS2