TYPO3 CMS vulnerable to Insufficient Session Expiration after Password Reset

TRUNG BÌNH 5.4CVE-2022-23502 · BIT-typo3-2022-23502 · GHSA-mgj2-q8wp-29rr · Công bố 14/12/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-23502 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng typo3/cms, typo3/cms-core, typo3 (typo3).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.43%, cao hơn 37.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 10.4.33, 11.5.20, 12.1.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
typo3/cms Packagist	`≥ 10.0.0, < 10.4.33≥ 11.0.0, < 11.5.20≥ 12.0.0, < 12.1.1`	`10.4.3311.5.2012.1.1`
typo3/cms-core Packagist	`≥ 10.0.0, < 10.4.33≥ 11.0.0, < 11.5.20≥ 12.0.0, < 12.1.1`	`10.4.3311.5.2012.1.1`
typo3 typo3	`≥ 10.0.0, < 10.4.33≥ 11.0.0, < 11.5.20≥ 12.0.0, < 12.1.1`	`10.4.3311.5.2012.1.1`

Mô tả

Problem

When users reset their password using the corresponding password recovery functionality, existing sessions for that particular user account were not revoked. This applied to both frontend user sessions and backend user sessions.

Solution

Update to TYPO3 versions 10.4.33, 11.5.20, 12.1.1 that fix the problem described above.

References

TYPO3-CORE-SA-2022-014

Mô tả của NVD

TYPO3 is an open source PHP based web content management system. In versions prior to 10.4.33, 11.5.20, and 12.1.1, When users reset their password using the corresponding password recovery functionality, existing sessions for that particular user account were not revoked. This applied to both frontend user sessions and backend user sessions. This issue is patched in versions 10.4.33, 11.5.20, 12.1.1.