TYPO3后台访问控制失效漏洞公告

漏洞概述 漏洞名称: TYPO3-CORE-SA-2026-021: Broken Access Control in Backend and Install Tool 发布日期: 2026年8月11日 漏洞类型: 访问控制失效 严重程度: 高 CVSS评分: 4.0 (AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) 影响范围 受影响版本: 13.0.0-13.4.33, 14.0.0-14.3.5 组件类型: TYPO3 CMS 子组件: Backend & Admin Tool (ext:backend, ext:install) 问题描述 问题详情: 在TYPO3 v13.0中，TYPO3 CMS开始从站点的主入口脚本而不是专用的 目录提供后端和Admin Tool应用程序。这导致请求从TYPO3实例的任何脚本运行，包括前端页面，被后端路由和Install Tool端点接受。攻击者可以利用跨站脚本漏洞，通过Fetch/XHR调用这些端点，以已认证用户的权限执行JavaScript。 修复方案 解决方案: 升级到TYPO3版本13.4.34 LTS或14.3.6 LTS，这些版本已修复上述问题。 其他信息 参考链接: CVE-2026-19418, CWE-346, CWE-352 建议: 遵循TYPO3安全指南中的建议，并订阅typo3-announce邮件列表。 作者信息 作者: Oliver Hader 职位: TYPO3 GmbH, Hof, Germany的核心开发者 简介: Oliver自2005年开始使用TYPO3，2007年成为TYPO3核心团队成员。2014年完成互联网网络科学的研究生学位后，继续研究高级Web技术。业余时间喜欢骑行。 页脚信息 版权: © 2026 TYPO3 Association 法律声明: Legal Notice, Privacy Policy 语言选择: Language 总结 该漏洞涉及TYPO3 CMS后端和Install Tool的访问控制失效，影响多个版本。建议用户尽快升级到修复版本，并遵循安全指南。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

TYPO3后台访问控制失效漏洞公告

目标达成感谢每一位支持者 — 我们达成了 100% 目标！