p PatchFirst

CVE-2024-34358

CVE-2024-34358 · TYPO3 vulnerable to an Uncontrolled Resource Consumption in the ShowImageController

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

TYPO3 is an enterprise content management system. Starting in version 9.0.0 and prior to versions 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS, and 13.1.1, the `ShowImageController` (`_eID tx_cms_showpic_`) lacks a cryptographic HMAC-signature on the `frame` HTTP query parameter (e.g. `/index.php?eID=tx_cms_showpic?file=3&...&frame=12345`). This allows adversaries to instruct the system to produce an arbitrary number of thumbnail images on the server side. TYPO3 versions 9.5.48 ELTS, 10.4.45 ELTS, 11.5.37 LTS, 12.4.15 LTS, 13.1.1 fix the problem described.

CVSS 5.3 · Средний · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • typo3

    Версии
    • >= 9.0.0, < 9.5.48: Затронуто
    • >= 10.0.0, < 10.4.45: Затронуто
    • >= 11.0.0, < 11.5.37: Затронуто
    • >= 12.0.0, < 12.4.15: Затронуто
    • >= 13.0.0, < 13.1.1: Затронуто

    Нет опубликованного исправления

  • typo3/cms-core Packagist

    Версии
    • v9.0.0
    • v9.1.0
    • v9.2.0
    • v9.2.1
    • v9.3.0
    • v9.3.1
    • v9.3.2
    • v9.3.3
    • v9.4.0
    • v9.5.0
    • v9.5.1
    • v9.5.10
    • v9.5.11
    • v9.5.12
    • v9.5.13
    • v9.5.14
    • v9.5.15
    • v9.5.16
    • v9.5.17
    • v9.5.18
    • v9.5.19
    • v9.5.2
    • v9.5.20
    • v9.5.21
    • v9.5.22
    • v9.5.23
    • v9.5.24
    • v9.5.25
    • v9.5.26
    • v9.5.27
    • v9.5.28
    • v9.5.29
    • v9.5.3
    • v9.5.30
    • v9.5.31
    • v9.5.4
    • v9.5.5
    • v9.5.6
    • v9.5.7
    • v9.5.8
    • v9.5.9
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 9.0.0, < 9.5.48

    Обновитесь до 9.5.48

  • typo3/cms-core Packagist

    Версии
    • v10.0.0
    • v10.1.0
    • v10.2.0
    • v10.2.1
    • v10.2.2
    • v10.3.0
    • v10.4.0
    • v10.4.1
    • v10.4.10
    • v10.4.11
    • v10.4.12
    • v10.4.13
    • v10.4.14
    • v10.4.15
    • v10.4.16
    • v10.4.17
    • v10.4.18
    • v10.4.19
    • v10.4.2
    • v10.4.20
    • v10.4.21
    • v10.4.22
    • v10.4.23
    • v10.4.24
    • v10.4.25
    • v10.4.26
    • v10.4.27
    • v10.4.28
    • v10.4.29
    • v10.4.3
    • v10.4.30
    • v10.4.31
    • v10.4.32
    • v10.4.33
    • v10.4.34
    • v10.4.36
    • v10.4.37
    • v10.4.4
    • v10.4.5
    • v10.4.6
    • v10.4.7
    • v10.4.8
    • v10.4.9
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 10.0.0, < 10.4.45

    Обновитесь до 10.4.45

  • typo3/cms-core Packagist

    Версии
    • v11.0.0
    • v11.1.0
    • v11.1.1
    • v11.2.0
    • v11.3.0
    • v11.3.1
    • v11.3.2
    • v11.3.3
    • v11.4.0
    • v11.5.0
    • v11.5.1
    • v11.5.10
    • v11.5.11
    • v11.5.12
    • v11.5.13
    • v11.5.14
    • v11.5.15
    • v11.5.16
    • v11.5.17
    • v11.5.18
    • v11.5.19
    • v11.5.2
    • v11.5.20
    • v11.5.21
    • v11.5.22
    • v11.5.23
    • v11.5.24
    • v11.5.25
    • v11.5.26
    • v11.5.27
    • v11.5.28
    • v11.5.29
    • v11.5.3
    • v11.5.30
    • v11.5.31
    • v11.5.32
    • v11.5.33
    • v11.5.34
    • v11.5.35
    • v11.5.36
    • v11.5.4
    • v11.5.5
    • v11.5.6
    • v11.5.7
    • v11.5.8
    • v11.5.9
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 11.0.0, < 11.5.37

    Обновитесь до 11.5.37

  • typo3/cms-core Packagist

    Версии
    • v12.0.0
    • v12.1.0
    • v12.1.1
    • v12.1.2
    • v12.1.3
    • v12.2.0
    • v12.3.0
    • v12.4.0
    • v12.4.1
    • v12.4.10
    • v12.4.11
    • v12.4.12
    • v12.4.13
    • v12.4.14
    • v12.4.2
    • v12.4.3
    • v12.4.4
    • v12.4.5
    • v12.4.6
    • v12.4.7
    • v12.4.8
    • v12.4.9
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 12.0.0, < 12.4.15

    Обновитесь до 12.4.15

  • typo3/cms-core Packagist

    Версии
    • v13.0.0
    • v13.0.1
    • v13.1.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 13.0.0, < 13.1.1

    Обновитесь до 13.1.1

Первоисточники

Проверьте свой сервер →