CVE-2020-15099 in TYPO3
Sumário
de VulDB • 22/08/2026
No TYPO3 CMS superior ou igual a 9.0.0 e inferior a 9.5.20, bem como superior ou igual a 10.0.0 e inferior a 10.4.6, em um cenário onde um atacante consegue gerar um código de autenticação de mensagem criptográfica (HMAC-SHA1) válido — seja explorando outra vulnerabilidade existente ou caso a encryptionKey interna tenha sido exposta — é possível recuperar arquivos arbitrários da instalação do TYPO3. Isso inclui a possibilidade de buscar o arquivo typo3conf/LocalConfiguration.php, que contém novamente a encryptionKey, bem como as credenciais do sistema de gerenciamento de banco de dados (DBMS) utilizado. Caso um servidor de banco de dados seja diretamente acessível via internet ou em uma rede de hospedagem compartilhada, isso permite recuperar completamente, manipular ou excluir o conteúdo do banco de dados. Isso inclui a criação de uma conta de usuário administrador — que pode ser usada para acionar execução remota de código (RCE) por meio da injeção de extensões personalizadas. A vulnerabilidade foi corrigida nas versões 9.5.20 e 10.4.6.
Once again VulDB remains the best source for vulnerability data.