Original-URL des Artikels: https://www.golem.de/news/sicherheitsluecke-typo-3-ist-per-cross-site-scripting-angreifbar-1509-116444.html    Veröffentlicht: 22.09.2015 15:43    Kurz-URL: https://glm.io/116444

Sicherheitslücke

Typo3 ist per Cross-Site-Scripting angreifbar

Das beliebte Content-Management-System Typo3 hat eine Schwachstelle. Angreifer können per Cross-Site-Scripting Code ausführen.

Webseitenbetreiber, die Typo3 in den Versionen 4.5, 6.2.0 bis 6.2.14 und 7.0.0 bis 7.3.0 einsetzen, sollten auf die Versionen 6.2.15 beziehungsweise 7.4.0 patchen. Erstere Versionen enthalten eine XSS-Lücke, über die Angreifer fremden Javascript-Code ausführen können.

Um die Sicherheitslücke auszunutzen, müssen Angreifer einen gefälschten Link zu einem Backend-Modul des Content-Management-Systems erstellen, das dann den Javascript-Payload enthält. Der Payload wird aktiviert, wenn ein berechtigter Nutzer mit Zugang zum entsprechenden Modul auf den Link klickt, und dann dazu verleitet wird, "auf ein bestimmtes HTML-Ziel" zu klicken. Typo3 in der Version 7.4.0 oder höher ist nicht angreifbar, weil die Software jeder URL automatisch ein dem Angreifer unbekanntes geheimes Token hinzufügt.

Die Schwäche mit der Nummer CVE-2015-5956 wurde von Julien Ahrens von der Secunet Security Networks AG entdeckt und an das Typo3-Projekt gemeldet.  (hg)


Verwandte Artikel:
Certificate Transparency: Webanwendungen hacken, bevor sie installiert sind   
(29.07.2017, https://glm.io/129116 )
Memory Leak: Insiderhandel bei Intel?   
(04.01.2018, https://glm.io/131957 )
Government Hack: Hack on German Government via E-Learning Software Ilias   
(08.03.2018, https://glm.io/133231 )
CMS: Drupal 8.4 stabilisiert Module   
(06.10.2017, https://glm.io/130479 )
BSA-Studie: Deutschland ist favorisierter Standort für die Cloud   
(06.03.2018, https://glm.io/133175 )

© 1997–2020 Golem.de, https://www.golem.de/