TYPO3 8.x < 8.7.25 / 9.x < 9.5.6 多个漏洞

high Nessus 插件 ID 138797

语言：

简介

The remote web server contains a PHP script that is affected by multiple vulnerabilities.

描述

远程主机上安装的 TYPO3 版本为低于 8.7.25 的 8.x 或低于 9.5.6 的 9.x。因此，该应用程序受到多个漏洞的影响：
- Typo3 的图像处理功能中存在远程代码执行漏洞，这是未正确配置其委派的应用程序所致。未经身份验证的远程攻击者可利用此漏洞，在受影响的主机上执行任意命令 (CVE-2019-11832)。

- typo3/fluid 程序包中存在一个跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。

- Typo3 的密码变更功能中存在会话劫持漏洞，这是未正确清理会话所致。经过身份验证的远程攻击者可利用此漏洞，使用另一位用户的权限，在用户或管理员界面执行操作。

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本