Es wurde eine problematische Schwachstelle in innologi appointments Extension bis 2.0.5 für TYPO3 gefunden. Dabei betrifft es einen unbekannter Codeteil der Komponente Appointment Handler. Durch Manipulation des Arguments formfield mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Das Problem wurde am 04.01.2023 als 986d3cb34e5e086c6f04e061f600ffc5837abe7f publiziert. Bereitgestellt wird das Advisory unter github.com. Die Identifikation der Schwachstelle wird mit CVE-2019-25094 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es sind technische Details verfügbar. Es ist soweit kein Exploit verfügbar. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1059.007 aus. Er wird als nicht definiert gehandelt. Als 0-Day erzielte der Exploit wohl etwa $0-$5k auf dem Schwarzmarkt. Ein Aktualisieren auf die Version 2.0.6 vermag dieses Problem zu lösen. Eine neue Version kann von github.com bezogen werden. Der Patch wird als 986d3cb34e5e086c6f04e061f600ffc5837abe7f bezeichnet. Dieser kann von github.com heruntergeladen werden. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle.