CVE-2026-77138
KrytyczneCVSS 9.3Streszczenie
Rozszerzenie niebezpiecznie przetwarza niezaufane dane wejściowe klienta z kontrolowanego przez atakującego ciasteczka bezpośrednio w funkcji unserialize() w PHP. Zdalny, nieuwierzytelniony atakujący może dostarczyć spreparowany serializowany ładunek, aby wywołać wstrzyknięcie obiektów PHP, prowadzące do zdalnego wykonania kodu na serwerze TYPO3.
Ocena ryzyka
Atakujący może w pełni przejąć serwer TYPO3, co może prowadzić do kradzieży danych, modyfikacji treści lub wykorzystania serwera do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować rozszerzenie TYPO3 do wersji, która zawiera poprawkę tej luki, oraz sprawdzić, czy nie doszło do kompromitacji.
Oryginalny opis (angielski, źródło NVD)
The extension fails to safely process untrusted client input of an attacker-controlled cookie directly to PHP's unserialize(). A remote, unauthenticated attacker can supply a crafted serialized payload to trigger PHP Object Injection, leading to Remote Code Execution on the TYPO3 server.