CVE-2026-113459
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W wersjach działających na TYPO3 10 i 11 skonfigurowany klucz API OpenAI jest osadzany w każdej stronie backendu, aby wtyczka edytora mogła kontaktować się z usługą OpenAI bezpośrednio z przeglądarki. Każdy uwierzytelniony użytkownik backendu może odczytać klucz i używać go na koszt operatora witryny. Dotyczy to tylko sytuacji, gdy skonfigurowano klucz API.
Ocena ryzyka
Uwierzytelniony użytkownik backendu może wykorzystać ujawniony klucz API OpenAI na koszt operatora witryny, generując niekontrolowane wydatki.
Rekomendacja
Zaktualizuj rozszerzenie do wersji z poprawką, a w międzyczasie rozważ rotację klucza API i ograniczenie dostępu do backendu.
Inne podatności w TYPO3
Zobacz wszystkie- CVE-2026-46723Średnie
Konfiguracja additional_tables indekserów page i tt_content akceptuje dowolne nazwy tabel i pól. Użytkownik backendu z uprawnieniami do edycji konfiguracji indeksera może skopiować wrażliwe dane z wewnętrznych tabel TYPO3 do indeksu wyszukiwania.
- CVE-2026-46722Średnie
Parsowanie OOXML w indekserze plików nie wyłącza rozwiązywania zewnętrznych encji. Spreparowany dokument xlsx lub pptx umieszczony w indeksowanym katalogu może spowodować odczyt lokalnych plików lub wykonanie wychodzących żądań HTTP, a pobrana zawartość jest zapisywana w indeksie wyszukiwania.
- CVE-2023-38499Niskie
TYPO3 to system zarządzania treścią oparty na PHP, który w wersjach od 9.4.0 do 9.5.42 ELTS, 10.4.39 ELTS, 11.5.30 i 12.4.4 miał lukę umożliwiającą dostęp do treści zewnętrznych w scenariuszach wielostanowiskowych. Umożliwiało to odwiedzającym dostęp do treści wewnętrznej poprzez manipulację parametrami zapytania HTTP w URL.
Oryginalny opis (angielski, źródło NVD)
In versions running on TYPO3 10 and 11, the configured OpenAI API key is embedded in every backend page, so that the editor plugin can contact the OpenAI service directly from the browser. Any authenticated backend user can read the key and use it at the expense of the site operator. This only applies if an API key has been configured.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS