Zaloguj się
Deutsch English Español Polski
Średnia

Neos Flow Arbitrary file upload and XML External Entity processing

  • Ujawniono: 17.05.2024
  • Aktualizacja: 11.10.2026 10:22

It has been discovered that Flow 3.0.0 allows arbitrary file uploads, inlcuding server-side scripts, posing the risk of attacks. If those scripts are executed by the server when accessed through their public URL, anything not blocked through other means is possible (information disclosure, placement of backdoors, data removal, …).

Note: The upload of files is only possible if the application built on Flow provides means to do so, and whether or not the upload of files poses a risk is dependent on the system setup. If uploaded script files are not executed by the server, there is no risk. In versions prior to 3.0.0 the upload of files with the extension php was blocked.

In Flow 2.3.0 to 2.3.6 a potential XML External Entity processing vulnerability has been discovered in the MediaTypeConverter.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer neos/flow >= 2.3.0, < 2.3.7, >= 3.0.0, < 3.0.1 2.3.7, 3.0.1

Odnośniki

Ocena CVSS -
Słabość (CWE)
-
Platforma
Composer
Paczka
neos/flow
Ujawniono
17.05.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-5vv7-j593-mgjc - CC BY 4.0

Historia podatności: neos/flow

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
5
Pierwsza → ostatnia
05.2022 05.2024
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Średnia 4
  • Niska 1

Ujawnienia w latach

  1. Time-Based Information Disclosure Vulnerability in Flow
    Średnia · 5.3 ghsa-6pq8-67pw-j6hw >= 2.3.0, < 2.3.16, >= 3.0.0, < 3.0.10, >= 3.1.0, < 3.1.7, >= 3.2.0, < 3.2.7, >= 3.3.0, < 3.3.5 2.3.16, 3.0.10, 3.1.7, 3.2.7, 3.3.5
  2. Neos Flow Information disclosure in entity security
    Średnia · 4.3 ghsa-9cw3-j7wg-jwj8 >= 3.0.0, < 3.0.12, >= 3.1.0, < 3.1.10, >= 3.2.0, < 3.2.13, >= 3.3.0, < 3.3.13, >= 4.0.0, < 4.0.6 3.0.12, 3.1.10, 3.2.13, 3.3.13, 4.0.6
  3. Neos Flow Arbitrary file upload and XML External Entity processing ten wpis
    Średnia ghsa-5vv7-j593-mgjc >= 2.3.0, < 2.3.7, >= 3.0.0, < 3.0.1 2.3.7, 3.0.1
  4. Insecure deserialize Vulnerability in FLOW3
    Niska · 3.7 ghsa-7h74-7vcw-4mwp >= 1.0.0, < 1.0.4 1.0.4
  5. TYPO3 Flow Cross-site scripting (XSS) vulnerability
    Średnia CVE-2013-7082 >= 1.1.0, < 1.1.1, >= 2.0.0, < 2.0.1 1.1.1, 2.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.