TYPO3 Version 12.4.37

In der Reihe TYPO3 Release-Notizen beleuchten wir regelmäßig die wichtigstenen Änderungen in einem neuen Patchlevel-Release.

Diese Releases sind gemäß Roadmap bereits terminiert und erscheinen grob einmal im Monat.

Bugs haben je nach Projekt unterschiedliche Auswirkungen. Was in einem Projekt kritisch ist, kann in einem anderen kaum eine Rolle spielen.

Diese Release-Notizen werden mit Hilfe von KI generiert.

TYPO3 Release 12.4.37

Hier eine Kurzform der aktuellen Security-Issues:

Seit Version 12.4.28 erscheinen v12 Versionen nicht mehr regelmäßig und parallel zu einem v13-Release!

Security-Fixes

! Bei Nutzung der Methode `GeneralUtility::sanitizeLocalUrl` war es möglich dass URLs, die an diese Methode übertragen wurden, nach der Verarbeitung eine Weiterleitung auf bösartige URLs durchführen konnte. [12.4+13.4]
Durch Admin-Aktionen im TYPO3-Backend könnten Bookmarks für andere User fehlerhaft gespeichert werden und dadurch das System für den Eigentümer des Lesezeichens unnutzbar machen, bis diese Bookmarks durch Administratoren wieder gelöscht wurden. [12.4+13.4]
Die Erzeugung von Passwörtern mit der TYPO3-Crypto-API kann unter gewissen Regel-Umständen eine geringere Entropie als gewünscht besitzen. Das bedeutet, dass ein neu erstelltes (!) Passwort leichter zu raten sein könnte als vorgesehen. [12.4+13.4]
Einige Datei-Operationen (Upload, Umbenennung) in der Datei-Liste kann bei gewissen manipulierten Dateinamen dafür sorgen dass Pfad-Informationen des TYPO3-Backends "verraten" werden (Redakteursaccount notwendig). [12.4+13.4]
!!! Admin-Aktionen im Backend konnten aufgerufen werden, wenn man deren URLs und Parameter kannte. Hierdurch konnten ggf. Daten ausgelesen oder manipuliert werden. Hierfür war dennoch ein TYPO3-Backendzugang notwendig. TYPO3-Core-Module nutzen ein neues Attribut "inheritAccessFromModule", welche auch für eigene Backend-Extensions für korrekte Rechte-Checks nun genutzt werden sollte. [12.4+13.4]
!!! Bei Nutzung der Workspace-Extension kann das Workspace-Modul über die Sicherheitslücke der defekten Acess Control via AJAX dazu genutzt werden um beliebige Inhalte in den Datenbanktabellen auszulesen. Hierfür war ein Backend-Redakteurszugang notwendig. [12.4+13.4]
!!! Bei Nutzung des CSV-Datensatzdownload-Features können die Datenbankspalten (nicht Inhalte) von Tabellen ohne Zugriffsrechte ausgelesen werden. Hierfür war ein Backend-Redakteurszugang notwendig. [12.4+13.4]