Niedrig

Information Disclosure in typo3/cms-install tool

Veröffentlicht: 14.11.2023
Aktualisiert: 11.10.2026 10:22

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:F/RL:O/RC:C (3.5)

Problem

The login screen of the standalone install tool discloses the full path of the transient data directory (e.g. /var/www/html/var/transient/). This applies to composer-based scenarios only - “classic” non-composer installations are not affected.

Solution

Update to TYPO3 version 12.4.8 that fixes the problem described above.

Credits

Thanks to Markus Klein who reported and fixed the issue.

References

TYPO3-CORE-SA-2023-005

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	typo3/cms-install	>= 12.2.0, < 12.4.8	12.4.8

Verweise

CVSS-Wert 3.7/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE): CWE-200
Plattform: Composer
Paket: typo3/cms-install
Veröffentlicht: 14.11.2023
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-p2jh-95jg-2w55 - CC BY 4.0

Schwachstellenhistorie: typo3/cms-install

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 6
Erste → letzte: 04.2022 01.2025
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Mittel 3
Niedrig 3

Veröffentlichungen pro Jahr

2022: 4
2023: 1
2024: 0
2025: 1
2026: 0

14.01.2025

TYPO3 Information Disclosure via Exception Handling/Logger

Niedrig · 3.1 CVE-2024-55891 >= 13.4.2, < 13.4.3 13.4.3
14.11.2023

Information Disclosure in typo3/cms-install tool dieser Eintrag

Niedrig · 3.7 CVE-2023-47126 >= 12.2.0, < 12.4.8 12.4.8
17.05.2022

TYPO3 Cross-Site Scripting vulnerability in the Install Tool

Niedrig CVE-2010-5100 >= 4.2.0, < 4.2.16, >= 4.3.0, < 4.3.9, >= 4.4.0, < 4.4.5 4.2.16, 4.3.9, 4.4.5
02.05.2022

Typo3 API Install Tool vulnerable to Cross-site Scripting

Mittel CVE-2009-3636 <= 4.0.13, >= 4.1.0, < 4.1.13, >= 4.2.0, < 4.2.10, >= 4.3alpha1, < 4.3beta2 4.1.13, 4.2.10, 4.3beta2
21.04.2022

TYPO3 is vulnerable to Session Fixation

Mittel · 6.5 CVE-2010-3671 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1
21.04.2022

TYPO3 is vulnerable to Insecure randomness in uniqid function

Mittel · 5.3 CVE-2010-3666 < 4.1.14, >= 4.2.0, < 4.2.13, >= 4.3.0, < 4.3.4, >= 4.4.0, < 4.4.1 4.1.14, 4.2.13, 4.3.4, 4.4.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden