CVE-2026-19418 in TYPO3
الملخص
بحسب VulDB • 11/08/2026
أصبح إنفاذ الإحالة (referrer enforcement) الذي أُدخل مع TYPO3-CORE-SA-2020-006 https://news.typo3.com/security/advisory/typo3-core-sa-2020-006 (CVE-2020-11069 https://www.cve.org/CVERecord ) غير فعال في TYPO3 v13.0، حيث بدأ نظام إدارة المحتوى TYPO3 CMS بتقديم تطبيقات لوحة التحكم وأداة التثبيت من سكريبت الإدخال الرئيسي للموقع بدلاً من المجلد المخصص typo3/. كان يتم تحديد ما إذا كانت الطلبات قادمة من لوحة التحكم أو أداة التثبيت نفسها عن طريق مقارنة عنوان الإحالة (referrer) مع مجلد سكريبت الإدخال، والذي أصبح منذ ذلك الحين هو الجذر الأساسي للموقع. ونتيجة لذلك، تم قبول الطلبات القادمة من أي سكريبت يعمل على أحد النطاقات الخاصة بنسخة TYPO3، مثل صفحات الواجهة الأمامية، عبر مسارات لوحة التحكم ونقاط نهاية أداة التثبيت. يمكن للمهاجمين القادرين على تنفيذ JavaScript على واحد من هذه النطاقات، مثلاً عن طريق استغلال ثغرة البرمجة النصية بين المواقع (XSS)، استدعاء نقاط النهاية هذه باستخدام Fetch/XHR مع امتيازات جلسة مستخدم الضحية المصادق عليه. تؤثر هذه المشكلة على إصدارات TYPO3 CMS 13.0.0-13.4.33 و 14.0.0-14.3.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.