جزئیات آسیب‌پذیری
CVE-2026-11607
TYPO3 CMS
TYPO3 CMS - Broken Access Control in Form Framework
CVSS 4.0
7.6بالا
شرح رسمی (انگلیسی)
Backend users with access to the Form Framework were able to use files not ending in .form.yaml as form definitions, which were processed without denying the incorrect file extension. Maliciously crafted form definition files can be used to execute arbitrary SQL statements, allowing attackers to escalate privileges by creating administrative backend user accounts. This issue affects TYPO3 CMS versions before 10.4.57, 11.0.0-11.5.50, 12.0.0-12.4.45, 13.0.0-13.4.30 and 14.0.0-14.3.2.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.6بالا | 4.0 | CVEProject cvelistV5 (CNA) (TYPO3) | CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| TYPO3 | TYPO3 CMS | v < 10.4.57 | CVEProject cvelistV5 (CNA) |
| TYPO3 | TYPO3 CMS | 11.0.0 ≤ v < 11.5.51 | CVEProject cvelistV5 (CNA) |
| TYPO3 | TYPO3 CMS | 12.0.0 ≤ v < 12.4.46 | CVEProject cvelistV5 (CNA) |
| TYPO3 | TYPO3 CMS | 13.0.0 ≤ v < 13.4.31 | CVEProject cvelistV5 (CNA) |
| TYPO3 | TYPO3 CMS | 14.0.0 ≤ v < 14.3.3 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۳/۱۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۴/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- TYPO3
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۳٪
احتمال بهره‌برداری در ۳۰ روز
۱۴٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-862Missing Authorization