Abo
  • IT-Karriere:

Sicherheitslücke: Typo3 ist per Cross-Site-Scripting angreifbar

Das beliebte Content-Management-System Typo3 hat eine Schwachstelle. Angreifer können per Cross-Site-Scripting Code ausführen.

Artikel veröffentlicht am ,
Typo 3 hat eine XSS-Schwäche.
Typo 3 hat eine XSS-Schwäche. (Bild: Typo 3)

Webseitenbetreiber, die Typo3 in den Versionen 4.5, 6.2.0 bis 6.2.14 und 7.0.0 bis 7.3.0 einsetzen, sollten auf die Versionen 6.2.15 beziehungsweise 7.4.0 patchen. Erstere Versionen enthalten eine XSS-Lücke, über die Angreifer fremden Javascript-Code ausführen können.

Stellenmarkt
  1. Universität Passau, Passau
  2. WIKA Alexander Wiegand SE & Co. KG, Klingenberg

Um die Sicherheitslücke auszunutzen, müssen Angreifer einen gefälschten Link zu einem Backend-Modul des Content-Management-Systems erstellen, das dann den Javascript-Payload enthält. Der Payload wird aktiviert, wenn ein berechtigter Nutzer mit Zugang zum entsprechenden Modul auf den Link klickt, und dann dazu verleitet wird, "auf ein bestimmtes HTML-Ziel" zu klicken. Typo3 in der Version 7.4.0 oder höher ist nicht angreifbar, weil die Software jeder URL automatisch ein dem Angreifer unbekanntes geheimes Token hinzufügt.

Die Schwäche mit der Nummer CVE-2015-5956 wurde von Julien Ahrens von der Secunet Security Networks AG entdeckt und an das Typo3-Projekt gemeldet.



Anzeige
Spiele-Angebote
  1. 23,49€
  2. 4,31€
  3. (-90%) 5,99€
  4. 21,99€

xUser 23. Sep 2015

Der Fix besteht ja auch darin, die Routine zum Entfernen von XSS anzupassen. Das mit dem...

quadronom 23. Sep 2015

Meine Uni benutzt Typo3.... Funktioniert sogar irgendwie.

cephei 22. Sep 2015

nicht Typo3 News von vor 13 Tagen.


Folgen Sie uns
       


Acer Predator Helios 700 - Hands on (Ifa 2019)

Was für ein skurriles Gerät: Golem.de schaut sich das Gaming-Notebook Predator Triton 700 von Acer an und probiert die Schiebetastatur aus.

Acer Predator Helios 700 - Hands on (Ifa 2019) Video aufrufen
Party like it's 1999: Die 510 letzten Tage von Sega
Party like it's 1999
Die 510 letzten Tage von Sega

Golem retro_ Am 9.9.1999 kam in den USA mit der Sega Dreamcast die letzte Spielkonsole der 90er Jahre auf den Markt. Es sollte auch die letzte Spielkonsole von Sega werden. Aber das wusste zu diesem Zeitpunkt noch niemand.
Von Martin Wolf


    FX Tec Pro 1 im Hands on: Starkes Tastatur-Smartphone für 650 Euro
    FX Tec Pro 1 im Hands on
    Starkes Tastatur-Smartphone für 650 Euro

    Ifa 2019 Smartphones mit physischer Tastatur sind oft klobig - anders das Pro 1 des Startups FX Tec. Das Gerät bietet eine umfangreiche Tastatur mit gutem Druckpunkt und stabilem Slide-Mechanismus - wie es in einem ersten Kurztest beweist. Zusammengeklappt ist das Smartphone überraschend dünn.
    Ein Hands on von Tobias Költzsch

    1. Galaxy A90 5G Samsung präsentiert 5G-Smartphone für 750 Euro
    2. Huami Neue Amazfit-Smartwatches kommen nach Deutschland
    3. The Wall Luxury Samsungs Micro-LED-Display kostet 450.000 Euro

    Galaxy Fold im Hands on: Samsung hat sein faltbares Smartphone gerettet
    Galaxy Fold im Hands on
    Samsung hat sein faltbares Smartphone gerettet

    Ifa 2019 Samsungs Überarbeitungen beim Galaxy Fold haben sich gelohnt: Das Gelenk wirkt stabil und dicht, die Schutzfolie ist gut in den Rahmen eingearbeitet. Im ersten Test von Golem.de haben wir trotz aller guten Eindrücke Bedenken hinsichtlich der Kratzempfindlichkeit des Displays.
    Ein Hands on von Tobias Költzsch

    1. Orbi AX6000 Netgears Wi-Fi-6-Mesh-System ist teuer
    2. Motorola Tech 3 Bluetooth-Hörstöpsel sind auch mit Kabel nutzbar
    3. Wegen US-Sanktionen Huawei bringt Mate 30 ohne Play Store und Google Maps

      •  /