The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the b1ac663f-3aa9-11ee-b887-b42e991fc52e advisory.

  - ckeditor-wordcount-plugin is an open source WordCount Plugin for CKEditor. It has been discovered that the     `ckeditor-wordcount-plugin` plugin for CKEditor4 is susceptible to cross-site scripting when switching to     the source code mode. This issue has been addressed in version 1.17.12 of the `ckeditor-wordcount-plugin`     plugin and users are advised to upgrade. There are no known workarounds for this vulnerability.
    (CVE-2023-37905)

  - TYPO3 is an open source PHP based web content management system. Starting in version 9.4.0 and prior to     versions 9.5.42 ELTS, 10.4.39 ELTS, 11.5.30, and 12.4.4, in multi-site scenarios, enumerating the HTTP     query parameters `id` and `L` allowed out-of-scope access to rendered content in the website frontend. For     instance, this allowed visitors to access content of an internal site by adding handcrafted query     parameters to the URL of a site that was publicly available. TYPO3 versions 9.5.42 ELTS, 10.4.39 ELTS,     11.5.30, 12.4.4 fix the problem. (CVE-2023-38499)

  - TYPO3 HTML Sanitizer is an HTML sanitizer, written in PHP, aiming to provide cross-site-scripting-safe     markup based on explicitly allowed tags, attributes and values. Starting in version 1.0.0 and prior to     versions 1.5.1 and 2.1.2, due to an encoding issue in the serialization layer, malicious markup nested in     a `noscript` element was not encoded correctly. `noscript` is disabled in the default configuration, but     might have been enabled in custom scenarios. This allows bypassing the cross-site scripting mechanism of     TYPO3 HTML Sanitizer. Versions 1.5.1 and 2.1.2 fix the problem. (CVE-2023-38500)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている TYPO3 のバージョンは、 8.7.42 < 8.7.53 ELTS / 9.5.29 < 9.5.42 ELTS / 10.4.19 < 10.4.39 ELTS / 11.3.2 < 11.5.30 / 12.0.0 < 12.4.4 より前です。したがって、TYPO3-CORE-SA-2023-002 のアドバイザリに記載されている脆弱性の影響を受けます。

  - シリアル化レイヤーのエンコーディングの問題により、noscript 要素にネストされた悪意のあるマークアップが正しくエンコードされませんでした。 noscript はデフォルトの設定では無効になっていますが、カスタムシナリオでは有効になっている可能性があります。これにより、typo3/html-sanitizer のクロスサイトスクリプティングメカニズムをバイパスできます。
    (CVE-2023-38500)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、b1ac663f-3aa9-11ee-b887-b42e991fc52e のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ckeditor-wordcount-plugin は、CKEditor 用のオープンソースの WordCount プラグインです。CKEditor4 用の「ckeditor-wordcount-plugin」プラグインは、ソースコードモードに切り替える際に、クロスサイトスクリプティングの影響を受けやすいことが判明しました。この問題は「ckeditor-wordcount-plugin」プラグインのバージョン 1.17.12 で対処されており、ユーザーはアップグレードすることが推奨されます。この脆弱性に対する既知の回避策はありません。
    (CVE-2023-37905)

  - TYPO3 は、オープンソースの PHP ベースの Web コンテンツ管理システムです。- バージョン 9.4.0 以降、バージョン 9.5.42 ELTS、10.4.39 ELTS、11.5.30、および 12.4.4 以前において、マルチサイトのシナリオで、HTTP クエリパラメーター「id」および「L」の列挙によって、Web サイトのフロントエンドでレンダリングされたコンテンツへの範囲外のアクセスが可能になっていました。たとえば、これにより、訪問者は一般に公開されているサイトの URL に細工されたクエリパラメーターを追加すれば、内部サイトのコンテンツにアクセスすることができました。TYPO3 バージョン 9.5.42 ELTS、10.4.39 ELTS、11.5.30、12.4.4 はこの問題を修正します。(CVE-2023-38499)

  - TYPO3 HTML サニタイザーは PHP で書かれた HTML サニタイザーで、明示的に許可されたタグ、属性、および値に基づいて XSS セーフなマークアップを提供することを目的としています。-バージョン 1.0.0 以降、バージョン 1.5.1 および 2.1.2 以前では、シリアル化レイヤーのエンコーディングの問題により、「noscript」要素にネストされた悪意のあるマークアップが正しくエンコードされませんでした。「noscript」はデフォルトの設定では無効になっていますが、カスタムシナリオでは有効になっている可能性があります。これにより、TYPO3 HTML Sanitizer のクロスサイトスクリプティングメカニズムをバイパスできます。バージョン 1.5.1 および 2.1.2 がこの問題を修正します。(CVE-2023-38500)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of TYPO3 installed on the remote host is prior to 8.7.42 < 8.7.53 ELTS / 9.5.29 < 9.5.42 ELTS / 10.4.19 < 10.4.39 ELTS / 11.3.2 < 11.5.30 / 12.0.0 < 12.4.4. It is, therefore, affected by a vulnerability as referenced in the TYPO3-CORE-SA-2023-002 advisory.

  - Due to an encoding issue in the serialization layer, malicious markup nested in a noscript element was not     encoded correctly. noscript is disabled in the default configuration, but might have been enabled in     custom scenarios. This allows bypassing the cross-site scripting mechanism of typo3/html-sanitizer.
    (CVE-2023-38500)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端主機上安裝的 TYPO3 版本早於 8.7.42 至 8.7.53 版的 ELTS/9.5.29 至 9.5.42 版的 ELTS/10.4.19 至 10.4.39 版的 ELTS/11.3.2 至 11.5.30 版/12.0.0 至 12.4.4 版。因此，會受到 TYPO3-CORE-SA-2023-002 公告中所提及的一個弱點影響。

  - 由於序列化層中的編碼問題，noscript 元素中巢狀的惡意標記未正確編碼。 noscript 在預設組態中處於停用狀態，但可能已在自訂狀況中啟用。此弱點會造成繞過 typo3/html-sanitizer 的跨網站指令碼機制。
    (CVE-2023-38500)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 TYPO3 版本为低于 8.7.53 ELTS 的 8.7.42 / 低于 9.5.42 ELTS 的 9.5.29 / 低于 10.4.39 ELTS 的 10.4.19 / 低于 11.5.30 的 11.3.2 / 低于 12.4.4 的 12.0.0。因此，该主机受到 TYPO3-CORE-SA-2023-002 公告中提及的漏洞的影响。

  - 由于序列化层中的编码问题，系统无法对 noscript 元素中嵌套的恶意标记执行正确编码。 noscript 在默认配置中被禁用，但可能已在自定义情况中启用。这允许绕过 typo3/html-sanitizer 的跨站脚本机制。
    (CVE-2023-38500)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
179872	FreeBSD : typo3 -- multiple vulnerabilities (b1ac663f-3aa9-11ee-b887-b42e991fc52e)	Nessus	FreeBSD Local Security Checks	2023/8/15	2023/8/15	medium
178776	TYPO3 8.7.42 < 8.7.53 ELTS / 9.5.29 < 9.5.42 ELTS / 10.4.19 < 10.4.39 ELTS / 11.3.2 < 11.5.30 / 12.0.0 < 12.4.4 XSS (TYPO3-CORE-SA-2023-002)	Nessus	CGI abuses	2023/7/25	2025/5/14	medium
179872	FreeBSD：typo3 -- 複数の脆弱性（b1ac663f-3aa9-11ee-b887-b42e991fc52e）	Nessus	FreeBSD Local Security Checks	2023/8/15	2023/8/15	medium
178776	TYPO3 8.7.42 < 8.7.53 ELTS / 9.5.29 < 9.5.42 ELTS / 10.4.19 < 10.4.39 ELTS / 11.3.2 < 11.5.30 / 12.0.0 < 12.4.4 XSS (TYPO3-CORE-SA-2023-002)	Nessus	CGI abuses	2023/7/25	2025/5/14	medium
178776	TYPO3 8.7.42 < 8.7.53 ELTS / 9.5.29 < 9.5.42 ELTS / 10.4.19 < 10.4.39 ELTS / 11.3.2 < 11.5.30 / 12.0.0 < 12.4.4 XSS (TYPO3-CORE-SA-2023-002)	Nessus	CGI abuses	2023/7/25	2025/5/14	medium
178776	TYPO3 8.7.42 < 8.7.53 ELTS / 9.5.29 < 9.5.42 ELTS / 10.4.19 < 10.4.39 ELTS / 11.3.2 < 11.5.30 / 12.0.0 < 12.4.4 XSS (TYPO3-CORE-SA-2023-002)	Nessus	CGI abuses	2023/7/25	2025/5/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium