๐ TYPO3 bis 6.2.15 Indexed Search Cross Site Scripting
๐ก Newskategorie: Sicherheitslรผcken
๐ Quelle: scip.ch
Allgemein
scipID: 80159
Betroffen: TYPO3 bis 6.2.15
Veröffentlicht: 08.01.2016
Risiko: problematisch
Erstellt: 10.01.2016
Aktualisiert: 11.01.2016
Eintrag: 66.2% komplett
Beschreibung
Eine problematische Schwachstelle wurde in TYPO3 bis 6.2.15 gefunden. Hierbei geht es um eine unbekannte Funktion der Komponente Indexed Search. Mit der Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Auswirken tut sich dies auf die Integrität. Die Zusammenfassung von CVE lautet:
Cross-site scripting (XSS) vulnerability in the search result view in the Indexed Search (indexed_search) component in TYPO3 6.2.x before 6.2.16 allows remote authenticated editors to inject arbitrary web script or HTML via unspecified vectors.
Die Schwachstelle wurde am 08.01.2016 herausgegeben. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2015-8756 gehandelt. Sie ist leicht ausnutzbar. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert eine einfache Authentisierung. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.
Ein Aktualisieren auf die Version 6.2.16 vermag dieses Problem zu lösen.CVSS
Base Score: 4.0 (CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:N) [?]
Temp Score: 3.5 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
- cpe:/a:typo3:typo3:6.2.0
- cpe:/a:typo3:typo3:6.2.1
- cpe:/a:typo3:typo3:6.2.2
- cpe:/a:typo3:typo3:6.2.3
- cpe:/a:typo3:typo3:6.2.4
- cpe:/a:typo3:typo3:6.2.5
- cpe:/a:typo3:typo3:6.2.6
- cpe:/a:typo3:typo3:6.2.7
- cpe:/a:typo3:typo3:6.2.8
- cpe:/a:typo3:typo3:6.2.9
- cpe:/a:typo3:typo3:6.2.10
- cpe:/a:typo3:typo3:6.2.11
- cpe:/a:typo3:typo3:6.2.12
- cpe:/a:typo3:typo3:6.2.13
- cpe:/a:typo3:typo3:6.2.14
- cpe:/a:typo3:typo3:6.2.15
Exploiting
Klasse: Cross Site Scripting
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $5k-$10k (0-day) / $1k-$2k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: TYPO3 6.2.16
Timeline
08.01.2016 | Advisory veröffentlicht
10.01.2016 | VulDB Eintrag erstellt
11.01.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2015-8756 (mitre.org) (nvd.nist.org) (cvedetails.com)
...