Das TYPO3-Sicherheitsteam hat heute über die Announce-Mailingliste zwei Meldungen über behobene Sicherheitslücken in den Erweiterungen sr_feuser_register und air_filemanager veröffentlicht.

Die Extension sr_feuser_register ist durch Cross-Site-Scripting und das ferngesteuerte Ausführen von Code (Remote Code Execution) angreifbar gewesen.

Betroffen von der Sicherheitslücke, deren Schwere vom Sicherheitsteam als "hoch" eingestuft wurde, sind folgende Versionen:

• 1.4.0,
• 1.6.0,
• 2.2.1 bis 2.2.7,
• 2.3.0 bis 2.3.6,
• 2.4.0,
• 2.5.0 bis 2.5.9

Die neuen Versionen der Extension beheben die Sicherheitlücke. Nutzern von TYPO3 3.x steht die neue Version 2.2.8 im Extension Repository zur Verfügung, für Nutzer der TYPO3-Version 4.x steht im Extension Repository die neue Version 2.5.10 zum Download bereit.

Auch die Extension air_filemanager ließ Cross-Site-Scripting und ferngesteuertes Ausführen von Code zu. Betroffen von der Sicherheitslücke, die vom Sicherheitsteam ebenfalls als "hoch" eingestuft wird, sind alle Versionen einschließlich 0.6.0.
Die neue Version 0.6.1 steht im Extension Repository zum Download bereit.

Die oben genannten Erweiterungen gehören nicht zur TYPO3-Standardinstallation. TYPO3-Systeme, die diese Extensions nicht einsetzen, sind von den Sicherheitslücken daher nicht betroffen.