TYPO3 8.x < 8.7.23 / 9.x < 9.5.4 多个漏洞

medium Nessus 插件 ID 138890

语言：

简介

The remote web server contains a PHP script that is affected by multiple vulnerabilities

描述

远程主机上安装的 TYPO3 版本为低于 8.7.23 的 8.x 或低于 9.5.4 的 9.x。因此，该应用程序受到多个漏洞的影响：
- Typo3 捆绑的第三方组件 Bootstrap 中存在跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过诱使用户单击特制的 URL，在用户的浏览器会话中执行任意脚本代码 (CVE-2018-14041)。

- Typo3 中存在远程代码执行漏洞，这是配置黑名单中存在遗漏所致。经过身份验证的远程攻击者可利用此漏洞，在受影响的主机上执行任意命令。

- Typo3 的 RequireJS 程序包中存在信息泄露漏洞，这是未正确对其进行配置所致。未经身份验证的远程攻击者可利用此问题泄露潜在的敏感信息。

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本