CVE-2023-50462: IDOR в расширении Content Consent для TYPO3
В расширении content_consent (Content Consent) до версии 2.0.1 включительно для TYPO3 обнаружена уязвимость класса IDOR. Из-за отсутствия проверки прав на запрашиваемый идентификатор контент-элемента неаутентифицированный пользователь может отображать различные элементы контента, включая внутренние. Уязвимость затрагивает сайты на TYPO3 с установленным расширением.
Подробности
Уязвимость затрагивает расширение content_consent для TYPO3 в версиях по 2.0.1 включительно. Согласно описанию, расширение не проверяет, разрешён ли плагином указанный идентификатор контент-элемента. Иными словами, отсутствует контроль доступа к запрашиваемому объекту: расширение принимает идентификатор элемента контента и отображает его, не убедившись, что данный элемент действительно разрешён к показу в рамках логики плагина. Эксплуатация не требует аутентификации — уязвимость доступна неаутентифицированному пользователю. Атакующий может манипулировать идентификатором контент-элемента и тем самым отображать различные элементы контента, которые не должны быть доступны. Это приводит к IDOR и создаёт потенциальную возможность раскрытия внутренних контент-элементов сайта. Сведения о значении базового балла CVSS в записи CVE не указаны, поэтому количественная оценка критичности не приводится. Тем не менее, поскольку уязвимость не требует аутентификации и позволяет обходить предполагаемые ограничения доступа к контенту, её следует рассматривать как значимую для сайтов, где расширение установлено и активно используется.Что делать
Основная рекомендация — обновить расширение content_consent до версии выше 2.0.1, если разработчиком выпущено исправление. Перед обновлением стоит проверить актуальную информацию у поставщика расширения и в репозитории TYPO3 Extension Repository (TER), чтобы убедиться в наличии пропатченной версии. Если обновление на текущий момент невозможно, следует рассмотреть временные компенсационные меры: ограничить доступ к функциональности расширения на уровне веб-сервера или WAF, а также провести аудит того, какие контент-элементы могут быть доступны через манипуляции идентификаторами. Дополнительно рекомендуется проверить логи на предмет подозрительных запросов с перебором идентификаторов контент-элементов, которые могут свидетельствовать о попытках эксплуатации. Владельцам сайтов на TYPO3, использующим content_consent, также стоит оценить, содержит ли их контент внутренние или служебные элементы, раскрытие которых нежелательно, и при необходимости пересмотреть настройки публикации таких элементов. Итог: CVE-2023-50462 — это IDOR-уязвимость в расширении content_consent для TYPO3 (до 2.0.1 включительно), позволяющая неаутентифицированному пользователю отображать произвольные контент-элементы и потенциально раскрывать внутренний контент. Ключевая мера защиты — обновление расширения; при невозможности обновления следует применить временные ограничения доступа и усилить мониторинг.Источник: CVE Project (cvelistV5)