TYPO3 Frontend User Registration 확장에서 회원 이메일·사용자 이름 조회 및 계정 삭제 가능
웹사이트 회원 가입 도구에서 회원 이메일이 엿보이고 계정이 지워질 수 있습니다.
요약
sf_register 확장의 이메일 확인·계정 삭제 링크가 요청의 해시 값을 검사하지 않아, 로그인하지 않은 공격자가 회원의 이메일 주소와 사용자 이름을 알아내거나 계정을 삭제할 수 있습니다. 13.2.4 이하와 14.0.0~14.0.2 버전이 해당합니다.
대처법
13.2.5 또는 14.0.3으로 업데이트하세요. 확장 관리자, Packagist 또는 공식 다운로드 페이지에서 받을 수 있습니다.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- TYPO3 sf_register 13.2 13.2.5 이상
- TYPO3 sf_register 14.0 14.0.3 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: typo3.org (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인