CVE-2026-49738
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 — wyżej niż 10% wszystkich znanych CVE
Streszczenie
Weryfikacja dozwolonych ścieżek w funkcji GeneralUtility::isAllowedAbsPath() nie uwzględniała granicy separatora katalogu, co pozwalało na akceptację nieprawidłowych ścieżek. Administratorzy mogli tworzyć nowe definicje przechowywania plików wskazujące na katalogi poza głównym katalogiem projektu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do plików znajdujących się poza dozwolonymi katalogami, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację TYPO3 CMS do wersji 10.4.57, 11.5.52, 12.4.47, 13.4.32 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
The path allowance check in GeneralUtility::isAllowedAbsPath() performed a plain string prefix comparison without requiring a directory separator boundary, causing a path like /var/www/html-other/secret.yaml to be incorrectly accepted as valid when the project root was /var/www/html. Administrator users with access to the File Abstraction Layer were able to create new file storage definitions pointing to directories outside the project root, bypassing this path check. This issue affects TYPO3 CMS versions before 10.4.57, 11.0.0-11.5.51, 12.0.0-12.4.46, 13.0.0-13.4.31 and 14.0.0-14.3.3.