Zaloguj się
Deutsch English Español Polski
Średnia

TYPO3 Form Framework Module vulnerable to Cross-Site Request Forgery

  • Ujawniono: 14.01.2025
  • Aktualizacja: 11.10.2026 10:22

Problem

A vulnerability has been identified in the backend user interface functionality involving deep links. Specifically, this functionality is susceptible to Cross-Site Request Forgery (CSRF). Additionally, state-changing actions in downstream components incorrectly accepted submissions via HTTP GET and did not enforce the appropriate HTTP method.

Successful exploitation of this vulnerability requires the victim to have an active session on the backend user interface and to be deceived into interacting with a malicious URL targeting the backend, which can occur under the following conditions:

  • the user opens a malicious link, such as one sent via email.
  • the user visits a compromised or manipulated website while the following settings are misconfigured:
    • security.backend.enforceReferrer feature is disabled,
    • BE/cookieSameSite configuration is set to lax or none

The vulnerability in the affected downstream component “Form Framework Module” allows attackers to manipulate or delete persisted form definitions.

Solution

Update to TYPO3 versions 11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS that fix the problem described.

Credits

Thanks to TYPO3 core and security members Benjamin Franzke, Oliver Hader, Andreas Kienast, Torben Hansen, Elias Häußler who fixed the issue.

References

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer typo3/cms-form >= 10.0.0, < 10.4.48, >= 11.0.0, < 11.5.42, >= 12.0.0, < 12.4.25, >= 13.0.0, < 13.4.3 10.4.48, 11.5.42, 12.4.25, 13.4.3

Odnośniki

Ocena CVSS 5.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
Słabość (CWE)
CWE-352, CWE-749
Platforma
Composer
Paczka
typo3/cms-form
Ujawniono
14.01.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-ww7h-g2qf-7xv6 - CC BY 4.0

Historia podatności: typo3/cms-form

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
8
Pierwsza → ostatnia
03.2021 08.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 5
  • Średnia 3

Ujawnienia w latach

  1. TYPO3 CMS - Unrestricted File Upload in Form Framework
    Średnia CVE-2026-15305 >= 14.2.0, < 14.3.5 14.3.5
  2. TYPO3 CMS has Broken Access Control in its Form Framework
    Wysoka CVE-2026-11607 < 10.4.57, >= 11.0.0, < 11.5.51, >= 12.0.0, < 12.4.46, >= 13.0.0, < 13.4.31, >= 14.0.0, < 14.3.3 10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3
  3. TYPO3 CMS has Privilege Escalation & SQL Injection in its Form Framework
    Wysoka CVE-2026-49741 >= 14.0.0, < 14.3.3 14.3.3
  4. TYPO3 CMS has Broken Access Control in its Form Framework
    Wysoka CVE-2026-47346 < 10.4.57, >= 11.0.0, < 11.5.51, >= 12.0.0, < 12.4.46, >= 13.0.0, < 13.4.31, >= 14.0.0, < 14.3.3 10.4.57, 11.5.51, 12.4.46, 13.4.31, 14.3.3
  5. TYPO3 Form Framework Module vulnerable to Cross-Site Request Forgery ten wpis
    Średnia · 5.4 CVE-2024-55922 >= 10.0.0, < 10.4.48, >= 11.0.0, < 11.5.42, >= 12.0.0, < 12.4.25, >= 13.0.0, < 13.4.3 10.4.48, 11.5.42, 12.4.25, 13.4.3
  6. Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in typo3/cms-form
    Średnia · 5.4 CVE-2021-21358 >= 10.2.0, < 10.4.14, >= 11.0.0, < 11.1.1 10.4.14, 11.1.1
  7. Broken Access Control in Form Framework
    Wysoka · 8.3 CVE-2021-21357 >= 8.0.0, < 8.7.40, >= 9.0.0, < 9.5.25, >= 10.0.0, < 10.4.14, >= 11.0.0, < 11.1.1 8.7.40, 9.5.25, 10.4.14, 11.1.1
  8. Unrestricted File Upload in Form Framework
    Wysoka · 8.6 CVE-2021-21355 >= 8.0.0, < 8.7.40, >= 9.0.0, < 9.5.25, >= 10.0.0, < 10.4.14, >= 11.0.0, < 11.1.1 8.7.40, 9.5.25, 10.4.14, 11.1.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.