CVE-2026-47346
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Użytkownicy backendu z uprawnieniami do zapisu plików mogli przesyłać pliki definicji formularzy z mieszanymi rozszerzeniami (np. .FORM.YAML), omijając ograniczenia przesyłania w ramach Form Framework. Złośliwie skonstruowane pliki mogą być wykorzystane do wykonywania dowolnych poleceń SQL, co pozwala atakującym na eskalację uprawnień poprzez tworzenie kont użytkowników administracyjnych.
Ocena ryzyka
Organizacja jest narażona na poważne ryzyko związane z nieautoryzowanym dostępem do systemu oraz możliwością eskalacji uprawnień, co może prowadzić do utraty danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację TYPO3 CMS do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień użytkowników backendu, aby ograniczyć możliwość przesyłania plików.
Oryginalny opis (angielski, źródło NVD)
Backend users with file write permissions were able to upload form definition files with mixed-case extensions (e.g., .FORM.YAML) to bypass the Form Framework's upload restriction. Maliciously crafted form definition files can be used to execute arbitrary SQL statements, allowing attackers to escalate privileges by creating administrative backend user accounts. This issue affects TYPO3 CMS versions before 10.4.57, 11.0.0-11.5.50, 12.0.0-12.4.45, 13.0.0-13.4.30 and 14.0.0-14.3.2.