TYPO3 vulnerable to an HTML Injection in the History Module

TRUNG BÌNH 5.4CVE-2024-34355 · GHSA-xjwx-78x7-q6jc · Công bố 14/05/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-34355 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng typo3/cms-core, typo3 (typo3).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.59%, cao hơn 48.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 13.1.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
typo3/cms-core Packagist	`≥ 13.0.0, < 13.1.1`	`13.1.1`
typo3 typo3	`≥ 13.0.0, < 13.1.1`	`13.1.1`

Mô tả

Problem

The history backend module is vulnerable to HTML injection. Although Content-Security-Policy headers effectively prevent JavaScript execution, adversaries can still inject malicious HTML markup. Exploiting this vulnerability requires a valid backend user account.

Solution

Update to TYPO3 version 13.1.1 that fixes the problem described.

Credits

Thanks to TYPO3 core team member Andreas Kienast who reported this issue and to TYPO3 core & security team Benjamin Franzke who fixed the issue.

References

TYPO3-CORE-SA-2024-007

Mô tả của NVD

TYPO3 is an enterprise content management system. Starting in version 13.0.0 and prior to version 13.1.1, the history backend module is vulnerable to HTML injection. Although Content-Security-Policy headers effectively prevent JavaScript execution, adversaries can still inject malicious HTML markup. Exploiting this vulnerability requires a valid backend user account. TYPO3 version 13.1.1 fixes the problem described.