CVE-2020-11063lowCWE-204

CVE-2020-11063: fallo de gravedad baja en TYPO3 CMS

Observable Response Discrepancy in TYPO3 CMS

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear TYPO3 CMS+ Monitorear typo3/cms

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 3.7epss 1.2%
En resumen

Un atacante puede explotar la función de restablecimiento de contraseña en TYPO3 CMS para descubrir qué direcciones de correo están registradas como cuentas de usuario midiendo los tiempos de respuesta. Esto expone información sobre usuarios válidos sin necesidad de contraseña.

Detalle técnico

Vulnerabilidad CWE-204 en TYPO3 CMS 10.4.0–10.4.1 permite enumeración de usuarios basada en tiempo mediante la funcionalidad de restablecimiento de contraseña de backend. Un atacante puede diferenciar direcciones de correo válidas de inválidas analizando discrepancias en tiempos de respuesta, posibilitando el descubrimiento de cuentas sin autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.
In TYPO3 CMS versions 10.4.0 and 10.4.1, it has been discovered that time-based attacks can be used with the password reset functionality for backend users. This allows an attacker to mount user enumeration based on email addresses assigned to backend user accounts. This has been fixed in 10.4.2.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
TYPO3 · TYPO3 CMS
CVEs relacionadas — TYPO3 CMS

En el mismo producto, de las más peligrosas a las menos.

CVE-2020-15098HIGHMissing Required Cryptographic Step Leading to Sensitive Information Disclosure in TYPO3 CMSEPSS 2.2%CVE-2020-11067HIGHDeserialization of Untrusted Data in TYPO3 CMSEPSS 2.0%CVE-2020-15099HIGHExposure of Sensitive Information to an Unauthorized Actor in TYPO3 CMSEPSS 1.8%CVE-2020-11066HIGHImproperly Controlled Modification of Dynamically-Determined Object Attributes in TYPO3 CMSEPSS 1.5%CVE-2020-11069HIGHCross-Site Request Forgery in TYPO3 CMSEPSS 0.7%CVE-2020-11065MEDIUMCross-Site Scripting in TYPO3 CMSEPSS 0.5%