CVE-2026-77130

ŚrednieCVSS 5.3

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Rozszerzenie nieprawidłowo weryfikuje wygaśnięcie tokena JWT dostarczonego przez klienta, co pozwala atakującemu mającemu kontrolę nad ważnym kluczem API na uwierzytelnienie przy użyciu wygasłego tokena. Wykorzystanie wymaga, aby atakujący miał już kontrolę nad kluczem API projektu SYSSY.

Ocena ryzyka

Atakujący z wykradzionym kluczem API może utrzymać dostęp do systemu nawet po wygaśnięciu tokena, co zwiększa ryzyko nieautoryzowanego dostępu.

Rekomendacja

Zaktualizuj rozszerzenie do wersji z poprawną walidacją wygaśnięcia tokenów JWT i regularnie rotuj klucze API.

Inne podatności w TYPO3 SYSSY extension

CVE-2026-77131Średnie
Gdy OpenSSL jest niedostępny na serwerze, rozszerzenie przesyła informacje o systemie TYPO3 w postaci zwykłego tekstu zamiast je szyfrować. Wykorzystanie wymaga, aby atakujący miał już kontrolę nad kluczem API projektu SYSSY.

Oryginalny opis (angielski, źródło NVD)

The extension fails to properly validate the expiration of a client-supplied JWT token, allowing an attacker in control of a valid API key to authenticate with an expired token. Exploitation requires the attacker to already be in control of the SYSSY project's API key.