TYPO3 6.1 File Upload Falsificação de Pedido entre Sites
| CVSS Meta Pontuação Temporária | Preço atual do exploit (≈) | Nota de Interesse CTI |
|---|---|---|
| 5.1 | $0-$5k | 0.00 |
Sumário
Uma vulnerabilidade classificada como problemático foi encontrada em TYPO3 6.1. O elemento afetado é uma função não identificada no componente File Upload Handler. A manipulação com uma entrada desconhecida leva a Falsificação de Pedido entre Sites. É possível lançar o ataque remotamente. Além disso, um exploit está disponível. Recomenda-se a actualização do componente afectado.
Detalhes
Uma vulnerabilidade classificada como problemático foi encontrada em TYPO3 6.1. O elemento afetado é uma função não identificada no componente File Upload Handler. A manipulação com uma entrada desconhecida leva a Falsificação de Pedido entre Sites. Usar CWE para declarar o problema leva a CWE-352. A fraqueza foi publicada 28/01/2014 como TYPO3-PSA-2014-001 como Aconselhamento (Site). O comunicado foi disponibilizado para download em typo3.org.
É possível lançar o ataque remotamente. Nenhuma informação técnica disponível. Esta vulnerabilidade apresenta popularidade inferior à média. Além disso, um exploit está disponível. Atualmente, o preço atual de um exploit pode ser aproximadamente USD $0-$5k no momento.
É declarado como prova de conceito. Como 0 dia, o preço estimado do subsolo foi de cerca de $5k-$25k.
A actualização para a versão 6.2 é capaz de abordar esta questão. Recomenda-se a actualização do componente afectado. O parecer contém a seguinte observação:
Since user action is always involved in this attack technique the risk can be mitigated greatly by not using the default web browser to log into a TYPO3 Backend and always log out once the work is finished. It is also suggested to not visit any other website in the same browser while being logged in.
Produto
Tipo
Nome
Versão
Licença
Site
- Produto: https://typo3.org/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vetor: 🔍VulDB Fiabilidade: 🔍
CVSSv3
VulDB Meta Pontuação Base: 5.4VulDB Meta Pontuação Temporária: 5.1
VulDB Pontuação Base: 5.4
VulDB Pontuação Temporária: 5.1
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vector | Complexidade | Autenticação | Confidencialidade | Integridade | Disponibilidade |
|---|---|---|---|---|---|
| Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
| Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
| Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍
Exploração
Classe: Falsificação de Pedido entre SitesCWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍
Físico: Não
Local: Não
Remoto: Sim
Disponibilidade: 🔍
Acesso: Privado
Estado: Prova de conceito
Tendência de preços: 🔍
Estimativa de preço atual: 🔍
| 0-Day | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
|---|---|---|---|---|
| Hoje | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
Inteligência de ameaças
Interesse: 🔍Atores ativos: 🔍
Grupos APT ativos: 🔍
Contramedidas
Recomendação: AtualizaçãoEstado: 🔍
Tempo 0-dia: 🔍
Atualização: TYPO3 6.2
Linha do tempo
28/01/2014 🔍07/02/2014 🔍
29/03/2019 🔍
Fontes
Produto: typo3.orgAconselhamento: TYPO3-PSA-2014-001
Estado: Confirmado
GCVE (VulDB): GCVE-100-12203
OSVDB: 102934
scip Labs: https://www.scip.ch/en/?labs.20161013
Veja também: 🔍
Entrada
Criado: 07/02/2014 10h46Atualizado: 29/03/2019 16h14
Ajustamentos: 07/02/2014 10h46 (45), 29/03/2019 16h14 (2)
Completo: 🔍
Cache ID: 216:F1A:103
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
Ainda sem comentários. Idiomas: pt + es + en.
Por favor, inicie sessão para comentar.