TYPO3 Formhandler扩展跨站脚本执行和SQL注入漏洞

发布日期:2012-10-30
更新日期:2012-11-01

受影响系统:
TYPO3 Formhandler <= 1.4.0
描述:
--------------------------------------------------------------------------------
Typo3是开源内容管理系统(CMS)和内容管理框架(CMF)。

TYPO3的Formhandler扩展1.4.0及更早版本中存在多个漏洞,某些输入没有正确过滤即被返回给用户并使用在SQL查询中,导致在受影响站点的用户浏览器中执行任意HTML和脚本代码。利用此漏洞需要对Formhandler后端模块的编辑器权限。

<*来源:Sven Krewitt
 
  链接:
       
*>

建议:
--------------------------------------------------------------------------------
厂商补丁:

TYPO3
-----
TYPO3已经为此发布了一个安全公告(typo3-ext-sa-2012-012)以及相应补丁1.4.1:

typo3-ext-sa-2012-012:TYPO3-EXT-SA-2012-012: Several Vulnerabilities in extension Formhandler (formhandler)

链接:

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/wyfwwg.html