Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

CVE-2025-47939

PUBLISHED 20.05.2025

CNA: GitHub_M

TYPO3 CMS Vulnerable to Unrestricted File Upload in File Abstraction Layer

Обновлено: 20.05.2025
TYPO3 is an open source, PHP based web content management system. By design, the file management module in TYPO3’s backend user interface has historically allowed the upload of any file type, with the exception of those that are directly executable in a web server context. This lack of restriction means it is possible to upload files that may be considered potentially harmful, such as executable binaries (e.g., `.exe` files), or files with inconsistent file extensions and MIME types (for example, a file incorrectly named with a `.png` extension but actually carrying the MIME type `application/zip`) starting in version 9.0.0 and prior to versions 9.5.51 ELTS, 10.4.50 ELTS, 11.5.44 ELTS, 12.4.31 LTS, and 13.4.12 LTS. Although such files are not directly executable through the web server, their presence can introduce indirect risks. For example, third-party services such as antivirus scanners or malware detection systems might flag or block access to the website for end users if suspicious files are found. This could negatively affect the availability or reputation of the site. Users should update to TYPO3 version 9.5.51 ELTS, 10.4.50 ELTS, 11.5.44 ELTS, 12.4.31 LTS, or 13.4.12 LTS to fix the problem.

CWE

Идентификатор Описание
CWE-351 CWE-351: Insufficient Type Distinction
CWE-434 Unrestricted upload of file with dangerous type

БДУ ФСТЭК

Идентификатор Описание
BDU:2025-06005 Уязвимость набора инструментов для обработки медиафайлов File Abstraction Layer (FAL) системы управления контентом TYPO3, позволяющая нарушителю загружать произвольные файлы

CVSS

Оценка Severity Версия Базовый вектор
5.4 MEDIUM 3.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

Доп. Информация

Product Status

typo3
Product: typo3
Vendor: TYPO3
Default status: Не определен
Версии:
Затронутые версии Статус
Наблюдалось в версии >= 9.0.0, < 9.5.51 affected
Наблюдалось в версии >= 10.0.0, < 10.4.50 affected
Наблюдалось в версии >= 11.0.0, < 11.5.44 affected
Наблюдалось в версии >= 12.0.0, < 12.4.31 affected
Наблюдалось в версии >= 13.0.0, < 13.4.12 affected
 

Ссылки

CISA ADP Vulnrichment

Обновлено: 20.05.2025
Этот блок содержит дополнительную информацию, предоставленную программой CVE для этой уязвимости.

SSVC

Exploitation Automatable Technical Impact Версия Дата доступа
none no partial 2.0.3 20.05.2025

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.