TYPO3 Blogger » Bugs http://typo3blogger.de TYPO3 News, Development & Insider Infos Tue, 07 Feb 2012 21:39:48 +0000 de-de hourly 1 http://wordpress.org/?v=3.3.1 Sicherheitslücken in diversen TYPO3 Extensions http://typo3blogger.de/sicherheitslucken-in-diversen-typo3-extensions/ http://typo3blogger.de/sicherheitslucken-in-diversen-typo3-extensions/#comments Thu, 02 Feb 2012 12:42:44 +0000 Peter Kraume http://typo3blogger.de/?p=7561 ------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]> Für folgende Extensions wurde heute ein Sicherheitsbulletin veröffentlicht:

Kritische Sicherheitslücke:

  • Kitchen recipe (mv_cooking)
  • Category-System (toi_category)
  • White Papers (mm_whtppr)

Hohes Risiko:

  • Documents download (rtg_files)
  • Post data records to facebook (bc_post2facebook)
  • System Utilities (sysutils)
  • Webservices for TYPO3 (typo3_webservice)

Mittleres Risiko:

  • Modern FAQ (irfaq)
  • Euro Calculator (skt_eurocalc)
  • Yet another Google search (ya_googlesearch)

Niedriges Risiko:

  • CSS styled Filelinks (css_filelinks)
  • Terminal PHP Shell (terminal)
  • BE User Switch (beuserswitch)
  • Additional TCA Forms (jftcaforms)
  • UrlTool (aeurltool)

Details finden sich im Security Bulletin TYPO3-EXT-SA-2012-001.

Ein Update der betroffenen Extensions wird wie immer dringend empfohlen. Die Extensions, für die es keine Updates mehr gibt, sollten gelöscht werden.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]> http://typo3blogger.de/sicherheitslucken-in-diversen-typo3-extensions/feed/ 9 TYPO3 4.5.10 und 4.6.3 beheben Regression im Rich Text Editor http://typo3blogger.de/typo3-4-5-10-und-4-6-3-beheben-regression-im-rich-text-editor/ http://typo3blogger.de/typo3-4-5-10-und-4-6-3-beheben-regression-im-rich-text-editor/#comments Tue, 20 Dec 2011 12:15:11 +0000 Peter Kraume http://typo3blogger.de/?p=7376 ------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]> Heute wurden die TYPO3 Versionen 4.5.10 und 4.6.3 veröffentlicht, die eine Regression im RTE beheben, die im Sicherheitsupdate von letzte Woche eingefügt wurden. Eigene Stylesheets im Backend wurden nicht mehr geladen.

Die Original News findet sich hier.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]> http://typo3blogger.de/typo3-4-5-10-und-4-6-3-beheben-regression-im-rich-text-editor/feed/ 9 Suggestwizard nun auch in Flexforms möglich – Türchen 8 http://typo3blogger.de/suggestwizard-nun-auch-in-flexforms-moglich-turchen-8/ http://typo3blogger.de/suggestwizard-nun-auch-in-flexforms-moglich-turchen-8/#comments Thu, 08 Dec 2011 07:00:53 +0000 Georg Ringer http://typo3blogger.de/?p=7115 ------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]> Die schönsten Weihnachtsgeschenke macht man sich manchmal doch selbst. Mit den nächsten Releases von 4-5, 4-6, 4-7 ist der Suggestwizard auch in Flexform-Feldern möglich.

Seit einiger Zeit bietet der dieser Wizard im TCA die praktische Möglichkeit, Relationen zu anderen Tabellen über ein Suggest-Feld hinzuzufügen. Grundsätzlich sind Flexforms dem TCA sehr ähnlich und verwenden die gleiche Syntax (statt PHP einfach XML) zur Konfiguration. Dennoch gibt es ein paar Unterschiede, die mit dem Merge des Tickets #22232 gelöst wurden.

Eine beispielhafte Konfiguration

<settings.startingpoint>
	<TCEforms>
		<exclude>1</exclude>
		<label>LLL:EXT:lang/locallang_general.xml:LGL.startingpoint</label>
		<config>
			<type>group</type>
			<internal_type>db</internal_type>
			<allowed>pages</allowed>
			<size>3</size>
			<maxitems>50</maxitems>
			<minitems>0</minitems>
			<show_thumbs>1</show_thumbs>
			<wizards>
				<suggest>
					<type>suggest</type>
				</suggest>
			</wizards>
		</config>
	</TCEforms>
</settings.startingpoint>


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/suggestwizard-nun-auch-in-flexforms-moglich-turchen-8/feed/
		1
		
		
		Security Bulletin veröffentlicht
		http://typo3blogger.de/security-bulletin-veroffentlicht/
		http://typo3blogger.de/security-bulletin-veroffentlicht/#comments
		Mon, 29 Aug 2011 21:10:55 +0000
		Tim Lochmüller
				
		
		
		

		http://typo3blogger.de/?p=6500
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Es wurden gleich zwei Security Bulletins veröffentlicht. Das Erste betrifft das allgegenwärtige Sorgenkind phpmyadmin (Bulletin) und das zweite ist ein Sammel-Bulletin. Von dem zweiten sind die folgenden Extensions betroffen:


    

  • MM DAM – FEFileList (mm_dam_filelist) 
    • 

  • Events (julle_events) 
    • 

  • WEC Staff Directory (wec_staffdirectory) 
    • 

  • TGM news (tgm_news) 
    • 

  • TGM media (tgm_media) 
    • 

  • TGM calendar module (tgm_cal) 
    • 

  • DAM Lightbox (damlightbox) 
    • 

  • Download system (sb_downloader) 
    • 

  • iwbase (iwbase) 
    • 

  • Fussballtippspiel (toto) 
    • 

  • Font resizer (fontsizer) 
    • 

  • Adminer (t3adminer)
    • 



Wenn Ihr betroffende Erweiterungen einsetzt heißt es wie immer, updaten oder eine andere Lösung finden…


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/security-bulletin-veroffentlicht/feed/
		0
		
		
		Bug Day am kommenden Freitag
		http://typo3blogger.de/bug-day-am-kommenden-freitag/
		http://typo3blogger.de/bug-day-am-kommenden-freitag/#comments
		Wed, 24 Aug 2011 19:14:18 +0000
		Tim Lochmüller
				
		
		

		http://typo3blogger.de/?p=6473
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Nachdem beim letzten mal ein Bug Weekend stattgefunden hat, geht es kommenden Freitag wieder mit einem “Bug Day” weiter. Am 26.08 wird sich erneut getroffen, um Fehler aus TYPO3 zu beheben. Koordiniert wird der Bug Day wie immer über IRC.


Alle Infos zum Bug Day auf typo3.org.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/bug-day-am-kommenden-freitag/feed/
		0
		
		
		TER schlecht erreichbar
		http://typo3blogger.de/ter-schlecht-erreichbar/
		http://typo3blogger.de/ter-schlecht-erreichbar/#comments
		Fri, 19 Aug 2011 17:26:12 +0000
		Tim Lochmüller
				
		
		

		http://typo3blogger.de/?p=6429
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Da es hier und hier schon zu Fragen kam, ob einige Extensions nicht mehr im TER sein, kurz die Info. Vorweg, diejenigen kann ich beruhigen. Es ist nur die Ausgabe der typo3.org Suche, welche im Moment nicht richtig funktioniert. Ich denke es gibt im Moment ein paar Umstellungen, welche nicht ganz reibungslos sind.


Mein Tipp: Sucht die Extension über das Backend von TYPO3. Im Extension Manager findet man alle Extensions und kann diese auch laden.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/ter-schlecht-erreichbar/feed/
		1
		
		
		TYPO3 Bug Weekend statt regulärem TYPO3 Bug Day
		http://typo3blogger.de/typo3-bug-weekend-statt-regularem-typo3-bug-day/
		http://typo3blogger.de/typo3-bug-weekend-statt-regularem-typo3-bug-day/#comments
		Thu, 28 Jul 2011 09:43:52 +0000
		Peter Kraume
				
		
		

		http://typo3blogger.de/?p=6351
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Am kommenden Wochenende (29.-31. Juli) findet statt dem regulären Bug Day gleich ein ganzes Bug Weekend statt. TYPO3 4.6-beta1 wird nächste Woche erscheinen und mit der ersten Beta Version ist auch ein Feature Freece verbunden. Von daher dient das Wochenende dazu, die letzten unerledigten Features noch in die Version zu integrieren. Details finden sich hier.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/typo3-bug-weekend-statt-regularem-typo3-bug-day/feed/
		1
		
		
		Securityrelease für TYPO3 4-3, 4-4, 4-5
		http://typo3blogger.de/securityrelease-fur-typo3-4-3-4-4-4-5/
		http://typo3blogger.de/securityrelease-fur-typo3-4-3-4-4-4-5/#comments
		Wed, 27 Jul 2011 11:49:27 +0000
		Georg Ringer
				
		
		
		

		http://typo3blogger.de/?p=6335
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Gerade wurde die Veröffentlichung von 4.3.12, 4.4.9 und 4.5.4 bekannt gegeben. Alle Details gibt es auf typo3.org. Es handelt sich dabei sowohl um Lücken für das Frontend, als auch das Backend. Ein Update ist wie immer absolut empfehlenswert!


Frontent


    

  • XSS über den Parameter JSwindow von typolink.
    • 



Backend




    

  • Information Disclosure beim Backend-Login
    • 

  • Vermeidung der 5 Sekunden Sperre bei falschen Logindaten
    • 

  • XSS im Adminpanel
    • 

  • XSS im browse_links Popup
    • 

  • XSS im Recycler
    • 

  • XSS in den Flashmessages
    • 

  • Information Disclosure im Workspace-Modul
    • 

  • Information Disclosure durch css_styled_content
    • 

  • Sicherheitslücke im Handling von serialize/unserialize
    • 

  • Fehlerhafte Funktion removeXSS
    • 

  • Fehlende Checks in der ExtDirect-API
    • 



Vielen Dank an alle, die die Issues reporten, bearbeiten, lösen, testen und an der Realisierung eines sicheren TYPO3 teilhaben.




------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/securityrelease-fur-typo3-4-3-4-4-4-5/feed/
		2
		
		
		TYPO3 Bug Manager
		http://typo3blogger.de/typo3-bug-manager/
		http://typo3blogger.de/typo3-bug-manager/#comments
		Mon, 18 Jul 2011 08:54:58 +0000
		Peter Kraume
				
		
		

		http://typo3blogger.de/?p=6210
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Beim Core Team Meeting vor den diesjährigen TYPO3 Developer Days wurde unter anderem vereinbart, die Funktion eines sogenannten “TYPO3 Bug Managers” einzuführen.


Jedes Core Team Mitglied soll für 2 Wochen im Jahr die Patenschaft für den TYPO3 Bugtracker übernehmen. Zu den Aufgaben gehört die Kategorisierung neuer Bugs, die Überwachung der Bugs und die Einschätzung der Schwierigkeit, einen Bug zu beheben. Außerdem sollte ein Bericht, der “Weekly Bug Summary” verfasst werden. Der Friendly Ghost of the Week steht auch allen als Ansprechpartner zur Verfügung, die Interesse an der Mitarbeit haben.


Im Google Calendar des Core Team kann man sehen, wer für die jeweilige Woche der Bug Manager ist. Weitere Ergebisse des Core Team Meetings finden sich im Protokoll im Wiki.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/typo3-bug-manager/feed/
		1
		
		
		Sicherheitslücke in ke_search (TYPO3-SA-2011-007)
		http://typo3blogger.de/sicherheitslucke-in-ke_search-typo3-sa-2011-007/
		http://typo3blogger.de/sicherheitslucke-in-ke_search-typo3-sa-2011-007/#comments
		Wed, 29 Jun 2011 07:46:44 +0000
		Peter Kraume
				
		
		
		

		http://typo3blogger.de/?p=6166
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Das TYPO3 Security hat eine schwere Sicherheitslücke in der TYPO3 Extension ke_search bekannt gegeben. Es besteht die Möglichkeit einer SQL Injection. Eine aktualisierte Version 0.3.1 ist im TER verfügbar. Das Update wird dringend empfohlen!


Das Security Bulletin ist hier verfügbar.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/sicherheitslucke-in-ke_search-typo3-sa-2011-007/feed/
		0
		
		
		Sicherheitslücken in Galerien
		http://typo3blogger.de/sicherheitslucken-in-galerien/
		http://typo3blogger.de/sicherheitslucken-in-galerien/#comments
		Mon, 20 Jun 2011 21:43:49 +0000
		Tim Lochmüller
				
		
		
		

		http://typo3blogger.de/?p=6145
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Letzte Woche wurde der Security Bulletin TYPO3-SA-2011-006 veröffentlicht. In dem Bulletin ging es um die Extensions “Photogallery (ce_gallery)” und “SEO Photogallery by Evorion (evgallery)”, welche beide für SQL Injections anfällig waren. Zu beiden Erweiterungen gibt es ein Update im TER, welches dringend eingespielt werden sollte.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/sicherheitslucken-in-galerien/feed/
		0
		
		
		BugDay am kommenden Freitag
		http://typo3blogger.de/bugday-am-kommenden-freitag/
		http://typo3blogger.de/bugday-am-kommenden-freitag/#comments
		Mon, 20 Jun 2011 21:40:07 +0000
		Tim Lochmüller
				
		
		
		

		http://typo3blogger.de/?p=6141
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Am kommenden Freitag findet erneut ein Bug-Day statt. Da es sich in einigen Bundesländern um einen Brückentag handelt, hat man vielleicht genug Ruhe und Nerven mal an dem Event teil zu haben. Alle Infos gibt es in der letzten typo3.org-News bzw. auf der Wiki-Seite des Bug-Days.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/bugday-am-kommenden-freitag/feed/
		0
		
		
		Bug Day am 27. Mai
		http://typo3blogger.de/bug-day-am-27-mai/
		http://typo3blogger.de/bug-day-am-27-mai/#comments
		Fri, 13 May 2011 20:42:35 +0000
		Tim Lochmüller
				
		
		

		http://typo3blogger.de/?p=6017
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			So wie man den typo3.org News eben entnehmen konnte, gibt es heute in 14 Tagen erneut einen Bug-Day. Wie immer ist jede helfenden Hand gefragt. Der Fokus liegt natürlich auf der Stabilisierung von TYPO3 4.5.x LTS, aber es wird bestimmt auch ein wenig an der neuen Alpha Version von 4.6 getestet und gedebuggt. Mehr Informationen gibt es auf typo3.org.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/bug-day-am-27-mai/feed/
		0
		
		
		Security Bulletin TYPO3-SA-2011-004: Lücken in powermail
		http://typo3blogger.de/security-bulletin-typo3-sa-2011-004-lucken-in-powermail/
		http://typo3blogger.de/security-bulletin-typo3-sa-2011-004-lucken-in-powermail/#comments
		Wed, 11 May 2011 07:04:37 +0000
		Georg Ringer
				
		
		

		http://typo3blogger.de/?p=5993
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Wie schon seit einem Posting hier bekannt, gab es in der Extension powermail Sicherheitslücken, die mit der Version 1.6.3 behoben sind. Wie immer der Rat: Schnell updaten und Sicherheitslücken an das Security-Team melden. Hier das offizielle Statement.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/security-bulletin-typo3-sa-2011-004-lucken-in-powermail/feed/
		2
		
		
		Probleme mit dem Sicherheitstoken nach Update auf TYPO3 4.5
		http://typo3blogger.de/probleme-mit-dem-sicherheitstoken-nach-update-auf-typo3-4-5/
		http://typo3blogger.de/probleme-mit-dem-sicherheitstoken-nach-update-auf-typo3-4-5/#comments
		Tue, 26 Apr 2011 07:15:29 +0000
		Peter Kraume
				
		
		
		

		http://typo3blogger.de/?p=5802
		------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			Der eine oder andere ist vielleicht nach einem Update auf die zurzeit aktuellste TYPO3 Version 4.5.2 z.B. beim Kopieren von Inhaltselementen auf diese Fehlermeldung gestoßen:


Die Validierung des Sicherheitstokens dieses Formulars ist fehlgeschlagen. Bitte laden Sie das Formular erneut und schicken Sie es dann noch einmal ab.


In diesem Fall empfiehlt es sich, die installierten Extensions auf XCLASS Nutzung im Backend zu überprüfen.


Am schnellsten geht das über das Modul “Konfiguration”. In der Drop Down Liste “$TYPO3_CONF_VARS (Globale Konfiguration)” auswählen und dann den Baum bei [BE] ausklappen. Unter XCLASS kann man dann die Extensions sehen, die den TYPO3 Core mittels XCLASS modifizieren.




Überprüfen sollte man dann vor allem die Extensions, die z.B. das Clipboard XCLASSen, wie z.B. kb_conttable oder kb_nescefe. Wenn die Extension Autoren keine neue für TYPO3 4.5 kompatible Version ihrer Extension veröffentlichen bleibt leider nur die Deinstallation.


Ursache der Fehlermeldung ist, dass in TYPO3 4.5 ein neuer Schutz gegen Cross Site Request Forgery (CSRF) eingeführt wurde. Georg hat darüber an dieser Stelle bereits im Januar berichtet.


Bitte postet weitere Extensions, die euch in diesem Zusammenhang aufgefallen sind, als Kommentar.


------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

]]>
			http://typo3blogger.de/probleme-mit-dem-sicherheitstoken-nach-update-auf-typo3-4-5/feed/
		14