Cross-Site Scripting in Bootstrap Package
Problem
It has been discovered that rendering content in the website frontend is vulnerable to cross-site scripting. A valid backend user account is needed to exploit this vulnerability.
The following templates are affected by the vulnerability:
Resources/Private/Partials/ContentElements/Carousel/Item/CallToAction.htmlResources/Private/Partials/ContentElements/Carousel/Item/Header.htmlResources/Private/Partials/ContentElements/Carousel/Item/Text.htmlResources/Private/Partials/ContentElements/Carousel/Item/TextAndImage.htmlResources/Private/Partials/ContentElements/Header/SubHeader.html
Users of the extension, who have overwritten the affected templates with custom code must manually apply the security fix as shown in this Git commit.
Solution
Update to version 7.1.2, 8.0.8, 9.0.4, 9.1.3, 10.0.10 or 11.0.3 of the Bootstrap Package that fix the problem described.
Updated version are available from the TYPO3 extension manager, Packagist and at https://extensions.typo3.org/extension/download/bootstrap_package/.
Credits
Thanks to TYPO3 security team member Oliver Hader who reported and fixed the issue.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | bk2k/bootstrap-package | >= 7.1.0, < 7.1.2, >= 8.0.0, < 8.0.8, >= 9.0.0, < 9.0.4, >= 9.1.0, < 9.1.3, >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.3 | 7.1.2, 8.0.8, 9.0.4, 9.1.3, 10.0.10, 11.0.3 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N- Schwäche (CWE)
CWE-79- Plattform
- Composer
- Paket
bk2k/bootstrap-package- Veröffentlicht
- 29.04.2021
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-p48w-vf3c-rqjx - CC BY 4.0
Schwachstellenhistorie: bk2k/bootstrap-package
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.