Bekannte Advisories · Frage 12 von 12
TYPO3-CORE-SA-2023-001 (CVE-2023-24814) beschreibt persistentes XSS im Frontend. Unter welcher TypoScript-Einstellung war die Lücke ausnutzbar?
1 Antwort ist richtig. Schwer
Lösung anzeigen
Lösung
- A config.absRefPrefix = auto
Erklärung
Die Lücke entstand, weil GeneralUtility::getIndpEnv() die ungefilterte Servervariable PATH_INFO nutzte. Mit absRefPrefix = auto ließ sich HTML in noch nicht gecachte Seiten einschleusen, das dann allen Besuchern ausgeliefert wurde.