TYPO3 8.x < 8.7.27 / 9.x < 9.5.8 多个漏洞

high Nessus 插件 ID 138612

语言：

简介

远程 Web 服务器包含的 PHP 应用程序受到多个漏洞影响。

描述

远程主机上安装的 TYPO3 版本为低于 8.7.27 的 8.x 或低于 9.5.8 的 9.x。因此，该应用程序受到多个漏洞的影响：
- Typo3 的 FormEngine 和 DataHandler 组件中存在不安全的反序列化漏洞。
未经身份验证的远程攻击者可以发送特别构建的对象，在受影响的主机上执行任意代码 (CVE-2019-12747)。

- Typo3 的 Page TSConfig 组件中存在跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。

- Typo3 的 Page TSConfig 组件中存在远程代码执行漏洞，这是未充分验证用户提供的输入所致。未经身份验证的远程攻击者可利用此问题，在受影响的主机上执行任意命令。

Typo3 中存在信息泄露漏洞。未经身份验证的远程攻击者可利用此问题泄露潜在的敏感信息。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本进行判断