Media

TYPO3 backend modules have Broken Access Control

Publicada: 09.09.2025
Actualizado: 11.10.2026 10:22

Missing authorization checks in the Backend Routing of TYPO3 CMS versions 9.0.0‑9.5.54, 10.0.0‑10.4.53, 11.0.0‑11.5.47, 12.0.0‑12.4.36, and 13.0.0‑13.4.17 allow backend users to directly invoke AJAX backend routes without having access to the corresponding backend modules.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	typo3/cms-backend	>= 9.0.0, < 12.4.37, >= 10.0.0, < 12.4.37, >= 11.0.0, < 12.4.37, >= 12.0.0, < 12.4.37, >= 13.0.0, < 13.4.18	12.4.37, 13.4.18
Paquete de Composer	typo3/cms-beuser	>= 13.0.0, < 13.4.18, >= 12.0.0, < 12.4.37, >= 11.0.0, < 12.4.37, >= 10.0.0, < 12.4.37, >= 9.0.0, < 12.4.37	13.4.18, 12.4.37
Paquete de Composer	typo3/cms-dashboard	>= 10.0.0, < 12.4.37, >= 11.0.0, < 12.4.37, >= 12.0.0, < 12.4.37, >= 13.0.0, < 13.4.18	12.4.37, 13.4.18
Paquete de Composer	typo3/cms-recycler	>= 9.0.0, < 12.4.37, >= 10.0.0, < 12.4.37, >= 11.0.0, < 12.4.37, >= 12.0.0, < 12.4.37, >= 13.0.0, < 13.4.18	12.4.37, 13.4.18
Paquete de Composer	typo3/cms-workspaces	>= 9.0.0, < 12.4.37, >= 10.0.0, < 12.4.37, >= 11.0.0, < 12.4.37, >= 12.0.0, < 12.4.37, >= 13.0.0, < 13.4.18	12.4.37, 13.4.18

Referencias

Puntuación CVSS -

Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
Debilidad (CWE): CWE-862
Plataforma: Composer
Paquete: typo3/cms-backend, typo3/cms-beuser, typo3/cms-dashboard
Publicada: 09.09.2025
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-2fhw-2j7m-mr4m - CC BY 4.0

Historial de vulnerabilidades: typo3/cms-backend

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (25) en el archivo

Entradas en total: 25
Primera → última: 03.2021 09.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 6
Media 16
Baja 3

Divulgaciones por año

2021: 2
2022: 12
2023: 0
2024: 2
2025: 4
2026: 5

01.09.2026

TYPO3 CMS - Broken Access Control in Backend and Install Tool

Alta CVE-2026-19418 >= 13.0.0, < 13.4.34 13.4.34
24.04.2026

TYPO3 CMS Stores Cleartext Password in User Settings Module

Alta · 7.5 CVE-2026-6553 >= 14.2.0, < 14.3.0 14.3.0
09.09.2025

TYPO3 backend modules have Broken Access Control esta entrada

Media CVE-2025-59017 >= 9.0.0, < 12.4.37, >= 10.0.0, < 12.4.37, >= 11.0.0, < 12.4.37, >= 12.0.0, < 12.4.37, >= 13.0.0, < 13.4.18 12.4.37, 13.4.18
20.05.2025

The TYPO3 CMS Backend has Broken Authentication in Backend MFA

Alta · 7.2 CVE-2025-47941 >= 12.0.0, < 12.4.31, >= 13.0.0, < 13.4.12 12.4.31, 13.4.12
02.05.2022

TYPO3 Backend Command Injection via Shell Metacharacters in Uploaded File Name

Alta CVE-2009-3631 <= 4.0.13, >= 4.1.0, < 4.1.13, >= 4.2.0, < 4.2.10, >= 4.3alpha1, < 4.3beta2 4.1.13, 4.2.10, 4.3beta2
21.04.2022

TYPO3 SQL injection vulnerability on the backend

Alta · 8.8 CVE-2010-3662 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1
21.04.2022

TYPO3 Arbitrary Code Execution vulnerability on the backend

Alta · 8.8 CVE-2010-3663 < 4.1.14, >= 4.2, < 4.2.13, >= 4.3, < 4.3.4, >= 4.4, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación