So wurden insgesamt sechs Schwachstellen behoben, die unter anderem dafür sorgen könnten, dass Redakteure ohne die entsprechenden Berechtigungen Dateien erstellen, ändern oder löschen können. Ebenso ist TYPO3 CMS für Frontend-Login-Session-Fixation anfällig. Auch Schwachstellen, die Cross-Site-Scripting im Core sowie der Third-Party-Library Flowplayer ermöglichen, wurden gefunden.

Dazu kommen noch einige weitere Schwachstellen, die das Umgehen des Backend-Login-Brute-Force-Schutzes ermöglichen. Ebenso wurde entdeckt, dass Redakteure alle Dateien und Ordner im Root-Directory einer TYPO3-Installation auflisten könnten.

Die Schwachstellen im Überblick

Weitere Informationen zu den einzelnen Schwachstellen finden sich in den entsprechenden Security-Bulletins:

• Access Bypass when Editing File Metadata
• Frontend Login Session Fixation
• Cross-Site Scripting exploitable by Editors
• Cross-Site Scripting in 3^rd Party Library Flowplayer
• Information Disclosure possibility exploitable by Editors
• Brute Force Protection Bypass in Backend Login

Eine Übersicht über alle vorgenommenen Änderungen in den beiden neuen Versionen, TYPO3 CMS 6.2.14 und TYPO3 CMS 7.3.1, finden sich in den entsprechenden Release-Notes. Sie stehen auf der TYPO3-Website zum Download bereit.