BDU:2025-05949

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,6) Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,3) CVSS 3.299999952316284 · AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:L

Уязвимость расширения Webhooks системы управления контентом TYPO3, позволяющая нарушителю осуществить SSRF-атаку

Соответствие зарубежным идентификаторам

CVE-2025-47936

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость расширения Webhooks системы управления контентом TYPO3 связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку

Способ устранения

Использование рекомендаций: https://typo3.org/security/advisory/typo3-core-sa-2025-012 Для снижения потенциальных рисков SSRF-атаки через веб-перехватчики рекомендуется разрешить доступ только доверенным хостам. Этого можно добиться, настроив список разрешенных в $GLOBALS['TYPO3_CONF_VARS']['HTTP']['allowed_hosts']['webhooks'] . Если список разрешенных не определен или установлен в null , все запросы будут разрешены. Если список разрешенных представляет собой пустой массив , все запросы будут заблокированы. По умолчанию заводская настройка разрешает все запросы. Это предотвращает сбой существующих веб-перехватчиков после обновления до затронутых версий TYPO3. Администраторы должны вручную настроить этот параметр, чтобы обеспечить соблюдение ограничений.

Сведения записи

Дата публикации: 27.05.2025

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Данные уточняются

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
TYPO3	TYPO3	от 12.0.0 до 12.4.31	Не указана
TYPO3	TYPO3	от 13.0.0 до 13.4.12	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.