Anmelden
Deutsch English Español Polski
Hoch

Cross-Site-Request-Forgery in Backend

  • Veröffentlicht: 05.10.2021
  • Aktualisiert: 11.10.2026 10:22

Meta

  • CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C (8.2)

Problem

It has been discovered that the new TYPO3 v11 feature that allows users to create and share deep links in the backend user interface is vulnerable to cross-site-request-forgery.

The impact is the same as described in TYPO3-CORE-SA-2020-006 (CVE-2020-11069). However, it is not limited to the same site context and does not require the attacker to be authenticated. In a worst case scenario, the attacker could create a new admin user account to compromise the system.

To successfully carry out an attack, an attacker must trick his victim to access a compromised system. The victim must have an active session in the TYPO3 backend at that time.

The following Same-Site cookie settings in $GLOBALS[TYPO3_CONF_VARS][BE][cookieSameSite] are required for an attack to be successful:

  • SameSite=strict: malicious evil.example.org invoking TYPO3 application at good.example.org
  • SameSite=lax or none: malicious evil.com invoking TYPO3 application at example.org

Solution

Update your instance to TYPO3 version 11.5.0 which addresses the problem described.

Credits

Thanks to Richie Lee who reported this issue and to TYPO3 core & security team members Benni Mack and Oliver Hader who fixed the issue.

References

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket typo3/cms >= 11.2.0, < 11.5.0 11.5.0
Composer-Paket typo3/cms-core >= 11.2.0, < 11.5.0 11.5.0

Verweise

CVSS-Wert 8.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-309, CWE-352
Plattform
Composer
Paket
typo3/cms, typo3/cms-core
Veröffentlicht
05.10.2021
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-657m-v5vm-f6rw - CC BY 4.0

Schwachstellenhistorie: typo3/cms-core

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (128) im Archiv
Einträge insgesamt
128
Erste → letzte
09.2018 09.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 1
  • Hoch 35
  • Mittel 84
  • Niedrig 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. TYPO3 CMS - Broken Access Control in Backend and Install Tool
    Hoch CVE-2026-19418 >= 14.0.0, < 14.3.6 14.3.6
  2. TYPO3 CMS has Broken Access Control in its Form Framework
    Hoch CVE-2026-11607 < 10.4.57, >= 11.0.0, < 11.5.51, >= 12.0.0, < 12.4.46, >= 13.0.0, < 13.4.31, >= 14.0.0, < 14.3.3 10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3
  3. TYPO3 CMS: Destructive Actions on File Mount Folders
    Hoch CVE-2026-47343 < 10.4.57, >= 11.0.0, < 11.5.51, >= 12.0.0, < 12.4.46, >= 13.0.0, < 13.4.31, >= 14.0.0, < 14.3.3 10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3
  4. TYPO3 CMS has Privilege Escalation & SQL Injection in its Form Framework
    Hoch CVE-2026-49741 >= 14.0.0, < 14.3.3 14.3.3
  5. TYPO3 CMS has Broken Access Control in its Form Framework
    Hoch CVE-2026-47346 < 10.4.57, >= 11.0.0, < 11.5.51, >= 12.0.0, < 12.4.46, >= 13.0.0, < 13.4.31, >= 14.0.0, < 14.3.3 10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3
  6. TYPO3 CMS has Broken Access Control in its Media Module
    Hoch CVE-2026-49742 >= 11.0.0, < 11.5.51, >= 12.0.0, < 12.4.46, >= 13.0.0, < 13.4.31, >= 14.0.0, < 14.3.3 11.5.51, 12.4.46, 13.4.31, 14.3.3
  7. TYPO3 Allows Privilege Escalation to System Maintainer
    Hoch · 7.2 CVE-2025-47940 >= 10.4.0, < 10.4.50, >= 11.0.0, < 11.5.44, >= 12.0.0, < 12.4.31, >= 13.0.0, < 13.4.12 10.4.50, 11.5.44, 12.4.31, 13.4.12
  8. TYPO3 Possible Insecure Deserialization in Extbase Request Handling
    Hoch · 8.1 ghsa-5h5v-m596-r6rf >= 8.0.0, < 8.7.30, >= 9.0.0, < 9.5.12 8.7.30, 9.5.12
  9. TYPO3 Arbitrary Code Execution and Cross-Site Scripting in Backend API
    Hoch · 8.8 ghsa-x428-565f-8xj2 >= 8.0.0, < 8.7.27, >= 9.0.0, < 9.5.8 8.7.27, 9.5.8
  10. TYPO3 Security Misconfiguration in Frontend Session Handling
    Hoch · 8.2 ghsa-82vp-jr39-4j2j >= 8.0.0, < 8.7.27, >= 9.0.0, < 9.5.8 8.7.27, 9.5.8
  11. TYPO3 Arbitrary Code Execution via File List Module
    Hoch · 8.8 ghsa-f9hr-7cfq-mjg2 >= 8.0.0, < 8.7.23, >= 9.0.0, < 9.5.4 8.7.23, 9.5.4
  12. TYPO3 Security Misconfiguration for Backend User Accounts
    Hoch · 7.5 ghsa-rxc9-f2x6-qh4w >= 8.0.0, < 8.7.23, >= 9.0.0, < 9.5.4 8.7.23, 9.5.4
  13. TYPO3 Denial of Service in Frontend Record Registration
    Hoch · 7.5 ghsa-hjx5-v9xg-7h25 >= 8.0.0, < 8.7.21, >= 7.0.0, < 7.6.32 8.7.21, 7.6.32
  14. TYPO3 Security Misconfiguration in Install Tool Cookie
    Hoch · 7.5 ghsa-ppvg-hw62-6ph9 >= 8.0.0, < 8.7.21, >= 9.0.0, < 9.5.2, >= 7.0.0, < 7.6.32 8.7.21, 9.5.2, 7.6.32
  15. TYPO3 CMS Insecure Deserialization
    Hoch · 7.5 ghsa-96jg-pmc4-cx39 >= 8.5.0, < 8.7.17, >= 9.0.0, < 9.3.1 8.7.17, 9.3.1
  16. TYPO3 CMS Privilege Escalation and SQL Injection
    Hoch · 7.5 ghsa-45wj-jv2h-jwrf >= 8.5.0, < 8.7.17, >= 9.0.0, < 9.3.2 8.7.17, 9.3.2
  17. TYPO3 CMS Insecure Deserialization & Arbitrary Code Execution
    Kritisch · 9.8 ghsa-cc97-g92w-jm65 >= 8.0.0, < 8.7.17, >= 9.0.0, < 9.3.2, >= 7.0.0, < 7.6.30 8.7.17, 9.3.2, 7.6.30
  18. TYPO3 CMS Authentication Bypass vulnerability
    Hoch · 7.5 ghsa-x4rj-f7m6-42c3 >= 8.0.0, < 8.7.17, >= 9.0.0, < 9.3.2, >= 7.0.0, < 7.6.30 8.7.17, 9.3.2, 7.6.30
  19. TYPO3 Install Tool vulnerable to Code Execution
    Hoch · 7.2 CVE-2024-22188 >= 8.0.0, < 8.7.57, >= 9.0.0, < 9.5.46, >= 10.0.0, < 10.4.43, >= 11.0.0, < 11.5.35, >= 12.0.0, < 12.4.11, >= 13.0.0, < 13.0.1 8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11, 13.0.1
  20. TYPO3 vulnerable to Improper Access Control Persisting File Abstraction Layer Entities via Data Handler
    Hoch · 7.1 CVE-2024-25121 >= 8.0.0, < 8.7.57, >= 9.0.0, < 9.5.46, >= 10.0.0, < 10.4.43, >= 11.0.0, < 11.5.35, >= 12.0.0, < 12.4.11, >= 13.0.0, < 13.0.1 8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11, 13.0.1
  21. TYPO3 is vulnerable to Cross-Site Scripting via frontend rendering
    Hoch · 8.8 CVE-2023-24814 >= 12.0.0, < 12.2.0, >= 11.0.0, < 11.5.23, >= 10.0.0, < 10.4.36, >= 9.0.0, < 9.5.40, >= 8.7.0, < 8.7.51 12.2.0, 11.5.23, 10.4.36, 9.5.40, 8.7.51
  22. TYPO3 CMS vulnerable to Arbitrary Code Execution via Form Framework
    Hoch · 7.5 CVE-2022-23503 >= 8.0.0, < 8.7.49, >= 9.0.0, < 9.5.38, >= 10.0.0, < 10.4.33, >= 11.0.0, < 11.5.20, >= 12.0.0, < 12.1.1 8.7.49, 9.5.38, 10.4.33, 11.5.20, 12.1.1
  23. TYPO3 Vulnerable to Insecure Deserialization
    Hoch · 8.8 CVE-2019-12747 >= 8.0.0, < 8.7.27, >= 9.0.0, < 9.5.8 8.7.27, 9.5.8
  24. TYPO3 Image Processing susceptible to Code Execution
    Hoch · 7.5 CVE-2019-11832 >= 8.0.0, < 8.7.25, >= 9.0.0, < 9.5.6 8.7.25, 9.5.6
  25. TYPO3 Insecure Deserialization in Query Generator & Query View
    Hoch · 8.8 CVE-2019-19849 >= 10.0.0, < 10.2.1, >= 8.0.0, < 8.7.30, >= 9.0.0, < 9.5.12 10.2.1, 8.7.30, 9.5.12
  26. TYPO3 SQL injection vulnerability in the Extbase Framework
    Hoch · 7.4 CVE-2013-1842 >= 4.5.0, < 4.5.24, >= 4.6.0, < 4.6.17, >= 4.7.0, < 4.7.9, >= 6.0.0, < 6.0.3 4.5.24, 4.6.17, 4.7.9, 6.0.3
  27. Cross-Site-Request-Forgery in Backend dieser Eintrag
    Hoch · 8.8 CVE-2021-41113 >= 11.2.0, < 11.5.0 11.5.0
  28. Broken Access Control in Form Framework
    Hoch · 8.3 CVE-2021-21357 >= 10.0.0, < 10.4.14, >= 11.0.0, < 11.1.1, >= 9.0.0, < 9.5.25 10.4.14, 11.1.1, 9.5.25
  29. Unrestricted File Upload in Form Framework
    Hoch · 8.6 CVE-2021-21355 >= 10.0.0, < 10.4.14, >= 11.0.0, < 11.1.1, >= 9.0.0, < 9.5.25 10.4.14, 11.1.1, 9.5.25
  30. Cleartext storage of session identifier
    Hoch · 8.1 CVE-2020-26228 >= 9.0.0, < 9.5.23, >= 10.0.0, < 10.4.10, >= 8.7.0, < 8.7.38 9.5.23, 10.4.10, 8.7.38
  31. Exposure of Sensitive Information to an Unauthorized Actor in TYPO3 CMS
    Hoch · 8.1 CVE-2020-15099 >= 9.0.0, < 9.5.20, >= 10.0.0, < 10.4.6 9.5.20, 10.4.6
  32. Missing Required Cryptographic Step Leading to Sensitive Information Disclosure in TYPO3 CMS
    Hoch · 8.8 CVE-2020-15098 >= 9.0.0, < 9.5.20, >= 10.0.0, < 10.4.6 9.5.20, 10.4.6
  33. Backend Same-Site Request Forgery in TYPO3 CMS
    Hoch · 8.0 CVE-2020-11069 >= 9.0.0, < 9.5.17, >= 10.0.0, < 10.4.2 9.5.17, 10.4.2
  34. Insecure Deserialization in Backend User Settings in TYPO3 CMS
    Hoch · 8.8 CVE-2020-11067 >= 9.0.0, < 9.5.17, >= 10.0.0, < 10.4.2 9.5.17, 10.4.2
  35. Class destructors causing side-effects when being unserialized in TYPO3 CMS
    Hoch · 8.7 CVE-2020-11066 >= 9.0.0, < 9.5.17, >= 10.0.0, < 10.4.2 9.5.17, 10.4.2
  36. Deserialization of untrusted data in Symfony
    Hoch · 7.1 CVE-2019-10912 >= 9.0.0, < 9.5.8 9.5.8

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.