Niska

Information Disclosure in typo3/cms-install tool

Ujawniono: 14.11.2023
Aktualizacja: 11.10.2026 10:22

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:F/RL:O/RC:C (3.5)

Problem

The login screen of the standalone install tool discloses the full path of the transient data directory (e.g. /var/www/html/var/transient/). This applies to composer-based scenarios only - “classic” non-composer installations are not affected.

Solution

Update to TYPO3 version 12.4.8 that fixes the problem described above.

Credits

Thanks to Markus Klein who reported and fixed the issue.

References

TYPO3-CORE-SA-2023-005

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	typo3/cms-install	>= 12.2.0, < 12.4.8	12.4.8

Odnośniki

Ocena CVSS 3.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-200
Platforma: Composer
Paczka: typo3/cms-install
Ujawniono: 14.11.2023
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p2jh-95jg-2w55 - CC BY 4.0

Historia podatności: typo3/cms-install

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 04.2022 01.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 3
Niska 3

Ujawnienia w latach

2022: 4
2023: 1
2024: 0
2025: 1
2026: 0

14.01.2025

TYPO3 Information Disclosure via Exception Handling/Logger

Niska · 3.1 CVE-2024-55891 >= 13.4.2, < 13.4.3 13.4.3
14.11.2023

Information Disclosure in typo3/cms-install tool ten wpis

Niska · 3.7 CVE-2023-47126 >= 12.2.0, < 12.4.8 12.4.8
17.05.2022

TYPO3 Cross-Site Scripting vulnerability in the Install Tool

Niska CVE-2010-5100 >= 4.2.0, < 4.2.16, >= 4.3.0, < 4.3.9, >= 4.4.0, < 4.4.5 4.2.16, 4.3.9, 4.4.5
02.05.2022

Typo3 API Install Tool vulnerable to Cross-site Scripting

Średnia CVE-2009-3636 <= 4.0.13, >= 4.1.0, < 4.1.13, >= 4.2.0, < 4.2.10, >= 4.3alpha1, < 4.3beta2 4.1.13, 4.2.10, 4.3beta2
21.04.2022

TYPO3 is vulnerable to Session Fixation

Średnia · 6.5 CVE-2010-3671 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1
21.04.2022

TYPO3 is vulnerable to Insecure randomness in uniqid function

Średnia · 5.3 CVE-2010-3666 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację