TYPO3同源请求伪造漏洞安全通告(CVE-2020-11069)

漏洞概述 漏洞名称: TYPO3-CORE-SA-2020-006: Same-Origin Request Forgery to Backend User Interface 漏洞类型: Same-Origin Request Forgery (同源请求伪造) 严重程度: High CVSS评分: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C 发布日期: 2020年5月12日 受影响版本: 9.0.0-9.5.16, 10.0.0-10.4.1 参考链接: CVE-2020-11069 CWE-352 CWE-346 影响范围 该漏洞影响TYPO3 CMS的后端用户界面和安装工具。攻击者可以通过与恶意资源交互，诱骗后端用户执行操作，从而利用受害者的用户会话权限。在最坏的情况下，攻击者可以创建新的管理员用户，直接用于攻击。 修复方案 1. 更新版本: 升级到TYPO3 9.5.17或10.4.2版本，这些版本已修复该漏洞。 2. 强制HTTP Referer头: 通过强制使用HTTP Referer头来确保请求来自TYPO3后端用户界面或安装工具。可以通过禁用 来实现，具体方法包括使用安装工具的feature toggles或相应的部署技术。 3. Sudo Mode Extension: 使用Sudo Mode扩展，该扩展会拦截对安全相关数据库表的修改，并要求用户再次输入密码以确认操作。 4. 内容安全策略 (CSP): 配置内容安全策略，禁止特定位置的脚本执行。例如，在 和 目录下禁止直接脚本执行。 POC代码/利用代码 页面中未提供具体的POC代码或利用代码。 其他建议 遵循TYPO3安全指南中的建议。 订阅TYPO3公告邮件列表，获取最新的安全更新。 所有安全相关的代码更改都会在审查系统中标记，便于查找。 作者信息 作者: Oliver Hader 职位: TYPO3 GmbH, Hof, Germany 的核心开发者 联系方式: 提供社交媒体链接 页脚信息 版权: © 2025 TYPO3 Association 法律通知: 法律通知、隐私政策 语言选择: 提供多语言支持 以上为网页截图中关于漏洞的关键信息总结。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

TYPO3同源请求伪造漏洞安全通告(CVE-2020-11069)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！