There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In TYPO3 CMS greater than or equal to 9.0.0 and less than 9.5.17 and greater than or equal to 10.0.0 and
    less than 10.4.2, calling unserialize() on malicious user-submitted content can lead to modification of
    dynamically-determined object attributes and result in triggering deletion of an arbitrary directory in
    the file system, if it is writable for the web server. It can also trigger message submission via email
    using the identity of the web site (mail relay). Another insecure deserialization vulnerability is
    required to actually exploit mentioned aspects. This has been fixed in 9.5.17 and 10.4.2. (CVE-2020-11066)

遠端主機上安裝的 TYPO3 版本為 9.5.17 之前的 9.x 版，或是 10.4.2 之前的 10.x 版。因此，會受到多個弱點影響：
  - Typo3 的表單引擎元件中存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入便將其傳回給使用者所導致。經驗證的遠端攻擊者可加以惡意利用，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼 (CVE-2020-11064)。

  - Typo3 中存在多個不安全的還原序列化弱點。未經驗證的遠端攻擊者可惡意利用此弱點，透過傳送特製 Java 物件的方式在受影響的主機上執行任意程式碼 (CVE-2020-11066 & CVE-2020-11067)。

  - Typo3 的後端使用者介面和安裝工具元件中存在一個伺服器端要求偽造弱點。未經驗證的遠端攻擊者可惡意利用此弱點，透過上傳特製的檔案來強制應用程式代表其產生潛在的惡意要求。(CVE-2020-11069)。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本

远程主机上安装的 TYPO3 版本为低于 9.5.17 的 9.x 或低于 10.4.2 的 10.x。因此，该应用程序受到多个漏洞的影响：
  - Typo3 的表单引擎中存在跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入，便将其返回给用户所致。经过身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码 (CVE-2020-11064)。

  - Typo3 中存在多个不安全的反序列化漏洞。经过身份验证的远程攻击者可利用此问题，发送特别构建的 Java 对象，在受影响的主机上执行任意代码 (CVE-2020-11066 & CVE-2020-11067)。

  - Typo3 的后端用户界面和安装工具组件中存在服务器端请求伪造漏洞。未经身份验证的远程攻击者可利用此漏洞，上传特别构建的文件，强制应用程序代其生成潜在的恶意请求。(CVE-2020-11069)。

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本

Typo3ニュース: 

CVE-2020-11063:  TYPO3-CORE-SA-2020-001:  パスワードリセットにおける情報漏洩

時間ベースの攻撃がバックエンドユーザーのパスワードリセット機能で使用される可能性があることが判明しました。これにより、攻撃者は与えられたメールアドレスのバックエンドユーザーアカウントが存在するかどうかを検証することができます。

CVE-2020-11064:  TYPO3-CORE-SA-2020-002:  Form Engineのクロスサイトスクリプティング

他のデータベースレコードのデータを含むHTMLプレースホルダー属性が、クロスサイトスクリプティングに対して脆弱であることが判明しました。
この脆弱性を悪用するためには、有効なバックエンドユーザーアカウントが必要です。

CVE-2020-11065: TYPO3-CORE-SA-2020-003:  リンク処理におけるクロスサイトスクリプティング

typolink機能により生成されたリンクタグが、クロスサイトスクリプティングに脆弱であることが判明しました - HTML属性として割り当てられているプロパティが正しく解析されていません。

CVE-2020-11066:  TYPO3-CORE-SA-2020-004:  シリアル化されていないときに副作用を引き起こすクラスデストラクタ

悪意のあるユーザーが送信したコンテンツでunserialize()を呼び出すと、以下のシナリオにつながる可能性があります: 

- ファイルシステムの任意のディレクトリの削除をトリガーします（Webサーバーに対して書き込み可能な場合）

- WebサイトのIDを使用する電子メールによるメッセージ送信をトリガーします（メールリレー）

前述の側面を実際に悪用するには、別の安全でない逆シリアル化脆弱性が必要です。

CVE-2020-11067:  TYPO3-CORE-SA-2020-005:  バックエンドユーザー設定における安全でない逆シリアル化

バックエンドユーザー設定（ $BE_USER-> uc）が、安全でない逆シリアル化に対して脆弱であることが判明しました。サードパーティコンポーネントの脆弱性と組み合わせることで、リモートでコードが実行される可能性があります。この脆弱性を悪用するためには、有効なバックエンドユーザーアカウントが必要です。

CVE-2020-11069:  TYPO3-CORE-SA-2020-006:  バックエンドユーザーインターフェイスに対する同一サイトリクエスト偽造

バックエンドユーザーインターフェイスおよびインストールツールが、同一サイトのリクエスト偽造に対して脆弱であることが判明しました。バックエンドユーザーが騙されて、以前に攻撃者がWebサーバーにアップロードした悪意のあるリソースと相互作用する可能性があります - スクリプトは、被害者のユーザーセッションの権限で実行されます。

最悪のシナリオでは、攻撃者が直接使用できる新しい管理者ユーザーが作成される可能性があります。この脆弱性は、クロスサイトスクリプティングの脆弱性（XSS）によって発生するクロスサイトリクエスト偽造（CSRF）ですが、同じターゲットホストで発生します。したがって、実際には同一サイトリクエスト偽造（SSRF）です。

JavaScriptを含むHTMLなどの悪意のあるペイロードが、認証されたバックエンドユーザーによって、または認証されていないユーザーによってサードパーティ拡張を使用して提供される可能性があります（例: ターゲットロケーションを知っているコンタクトフォームでのファイルアップロード）。

攻撃が成功するには、攻撃を受けた被害者に、アクティブで有効なバックエンドまたはインストールツールのユーザーセッションが必要です。

リモートホストにインストールされている TYPO3 のバージョンは、9.5.17 より前の 9.x または 10.4.2 より前の 10.x です。そのため、以下の複数の脆弱性の影響を受けます。
  - Typo3 のフォームエンジンコンポーネントに、ユーザーに返す前のユーザー指定入力が不適切に検証されていることによるクロスサイトスクリプティング（XSS）の脆弱性があります。認証されたリモート攻撃者がこれを悪用し、巧妙に作りこまれたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります（CVE-2020-11064）。

  -Typo3 に安全でない逆シリアル化の脆弱性が複数あります。認証されたリモート攻撃者がこれを悪用し、巧妙に作りこまれたオブジェクトを送信して、影響を受けるホストで任意のコードを実行する可能性があります（CVE-2020-11066 および CVE-2020-11067）。

  - Typo3 のバックエンドユーザーインターフェイスとインストールツールコンポーネントに、サーバーサイドリクエスト偽造の脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、巧妙に作りこまれたファイルをアップロードして、アプリケーションに対し、攻撃者の代わりに潜在的な悪意のあるリクエストを強制的に生成させる可能性があります。 （CVE-2020-11069）。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョンにのみ依存しています。

Typo3 News :

CVE-2020-11063: TYPO3-CORE-SA-2020-001: Information Disclosure in Password Reset

It has been discovered that time-based attacks can be used with the password reset functionality for backend users. This allows an attacker to verify whether a backend user account with a given email address exists or not.

CVE-2020-11064: TYPO3-CORE-SA-2020-002: Cross-Site Scripting in Form Engine

It has been discovered that HTML placeholder attributes containing data of other database records are vulnerable to cross-site scripting.
A valid backend user account is needed to exploit this vulnerability.

CVE-2020-11065: TYPO3-CORE-SA-2020-003: Cross-Site Scripting in Link Handling

It has been discovered that link tags generated by typolink functionality are vulnerable to cross-site scripting - properties being assigned as HTML attributes have not been parsed correctly.

CVE-2020-11066: TYPO3-CORE-SA-2020-004: Class destructors causing side-effects when being unserialized

Calling unserialize() on malicious user-submitted content can result in the following scenarios :

- trigger deletion of arbitrary directory in file system (if writable for web server)

- trigger message submission via email using identity of website (mail relay)

Another insecure deserialization vulnerability is required to actually exploit mentioned aspects.

CVE-2020-11067: TYPO3-CORE-SA-2020-005: Insecure Deserialization in Backend User Settings

It has been discovered that backend user settings (in $BE_USER->uc) are vulnerable to insecure deserialization. In combination with vulnerabilities of 3rd party components this can lead to remote code execution. A valid backend user account is needed to exploit this vulnerability.

CVE-2020-11069: TYPO3-CORE-SA-2020-006: Same-Site Request Forgery to Backend User Interface

It has been discovered that the backend user interface and install tool are vulnerable to same-site request forgery. A backend user can be tricked into interacting with a malicious resource an attacker previously managed to upload to the web server - scripts are then executed with the privileges of the victims' user session.

In a worst case scenario new admin users can be created which can directly be used by an attacker. The vulnerability is basically a cross-site request forgery (CSRF) triggered by a cross-site scripting vulnerability (XSS) - but happens on the same target host - thus, it' actually a same-site request forgery (SSRF).

Malicious payload such as HTML containing JavaScript might be provided by either an authenticated backend user or by a non-authenticated user using a 3rd party extension - e.g. file upload in a contact form with knowing the target location.

The attacked victim requires an active and valid backend or install tool user session at the time of the attack to be successful.

The version of TYPO3 installed on the remote host is 9.x prior to 9.5.17 or 10.x prior to 10.4.2. It is, therefore, affected by multiple vulnerabilities:
  - A cross-site scripting (XSS) vulnerability exists in Typo3's form engine component due to improper   validation of user-supplied input before returning it to users. An authenticated, remote attacker   can exploit this, by convincing a user to click a specially crafted URL, to execute arbitrary script   code in a user's browser session (CVE-2020-11064).

  - Multiple insecure deserialization vulnerabilities exist in Typo3. An authenticated, remote attacker   could exploit this, by crafting a specially crafted object, to execute arbitrary code   on an affected host (CVE-2020-11066 & CVE-2020-11067).

  - A server-side request forgery vulnerability exists in Typo3's backend user interface and install   tool components. An unauthenticated, remote attacker could exploit this, by uploading a specially   crafted file, to force the application to generate potentially malicious requests on their   behalf. (CVE-2020-11069).

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version

ID	Name	Product	Family	Published	Updated	Severity
422204	SCA: security update for typo3/cms, typo3/cms-core (GHSA-2rxh-h6h9-qrqc)	Tenable Cloud Security	SCA Checks	3/28/2025	7/2/2026	critical
422204	SCA: security update for typo3/cms, typo3/cms-core (GHSA-2rxh-h6h9-qrqc)	Tenable Self-Hosted Container Security	SCA Checks	3/28/2025	7/2/2026	critical
138385	TYPO3 9.x < 9.5.17 / 10.x < 10.4.2 多個弱點	Nessus	CGI abuses	7/13/2020	5/14/2025	critical
138385	TYPO3 9.x < 9.5.17 / 10.x < 10.4.2 多个漏洞	Nessus	CGI abuses	7/13/2020	5/14/2025	critical
136596	FreeBSD：typo3 -- 複数の脆弱性（59fabdf2-9549-11ea-9448-08002728f74c）	Nessus	FreeBSD Local Security Checks	5/14/2020	5/13/2022	critical
138385	TYPO3 9.x < 9.5.17 / 10.x < 10.4.2 の複数の脆弱性	Nessus	CGI abuses	7/13/2020	5/14/2025	critical
136596	FreeBSD : typo3 -- multiple vulnerabilities (59fabdf2-9549-11ea-9448-08002728f74c)	Nessus	FreeBSD Local Security Checks	5/14/2020	5/13/2022	critical
138385	TYPO3 9.x < 9.5.17 / 10.x < 10.4.2 Multiple Vulnerabilities	Nessus	CGI abuses	7/13/2020	5/14/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical