Baja

Information Disclosure in typo3/cms-install tool

Publicada: 14.11.2023
Actualizado: 11.10.2026 10:22

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:F/RL:O/RC:C (3.5)

Problem

The login screen of the standalone install tool discloses the full path of the transient data directory (e.g. /var/www/html/var/transient/). This applies to composer-based scenarios only - “classic” non-composer installations are not affected.

Solution

Update to TYPO3 version 12.4.8 that fixes the problem described above.

Credits

Thanks to Markus Klein who reported and fixed the issue.

References

TYPO3-CORE-SA-2023-005

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	typo3/cms-install	>= 12.2.0, < 12.4.8	12.4.8

Referencias

Puntuación CVSS 3.7/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE): CWE-200
Plataforma: Composer
Paquete: typo3/cms-install
Publicada: 14.11.2023
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-p2jh-95jg-2w55 - CC BY 4.0

Historial de vulnerabilidades: typo3/cms-install

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 6
Primera → última: 04.2022 01.2025
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Media 3
Baja 3

Divulgaciones por año

2022: 4
2023: 1
2024: 0
2025: 1
2026: 0

14.01.2025

TYPO3 Information Disclosure via Exception Handling/Logger

Baja · 3.1 CVE-2024-55891 >= 13.4.2, < 13.4.3 13.4.3
14.11.2023

Information Disclosure in typo3/cms-install tool esta entrada

Baja · 3.7 CVE-2023-47126 >= 12.2.0, < 12.4.8 12.4.8
17.05.2022

TYPO3 Cross-Site Scripting vulnerability in the Install Tool

Baja CVE-2010-5100 >= 4.2.0, < 4.2.16, >= 4.3.0, < 4.3.9, >= 4.4.0, < 4.4.5 4.2.16, 4.3.9, 4.4.5
02.05.2022

Typo3 API Install Tool vulnerable to Cross-site Scripting

Media CVE-2009-3636 <= 4.0.13, >= 4.1.0, < 4.1.13, >= 4.2.0, < 4.2.10, >= 4.3alpha1, < 4.3beta2 4.1.13, 4.2.10, 4.3beta2
21.04.2022

TYPO3 is vulnerable to Session Fixation

Media · 6.5 CVE-2010-3671 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1
21.04.2022

TYPO3 is vulnerable to Insecure randomness in uniqid function

Media · 5.3 CVE-2010-3666 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación