Das TYPO3 Security Team hat heute ein neues Security Bulletin für Sicherheitslücken in diversen TYPO3 Extensions veröffentlich. Betroffen sind folgende Extensions:

• Attac Calendar (attacalendar)
• Attac Petition (attacpetition)
• Subscription (eu_subscribe)
• Exinit job offer (exinit_joboffer)
• Frontend File Browser (fefilebrowser)
• Javascript and Css Optimizer (js_css_optimizer)
• From a csv-file to a html-table (kk_csv2table)
• SEO Pack for tt_news (lonewsseo)
• MySQL to JSON (mn_mysql2json)
• News Search (news_search)
• Tip-A-Friend Plus (tipafriend_plus)
• Twitter Auth Service (twitter_auth)
• sofortueberweisung2commerce (sofortueberweisung2commerce)
• UserTask Center, Messaging (sys_messages)

Die Sicherheitsprobleme in einigen der genannten Extensions werden mit kritisch oder hoch bewertet. Eine schnelle Überprüfung der eigenen Installationen ist also dringend angeraten.

Details zu den Sicherheitslücken finden sich im Security Bulletin TYPO3-EXT-SA-2013-002.

Durch ein internes Missverständnis im TYPO3 Security Team wurden erst heute zwei Security Bulletins veröffentlicht, die eigentlich bereits vom 25. Oktober und 21. Dezember stammen. Betroffen sind die Extensions commerce und formhandler.

TYPO3-EXT-SA-2012-012: Several Vulnerabilities in extension Formhandler (formhandler)

TYPO3-EXT-SA-2012-013: Several Vulnerabilities in extension commerce (commerce)

Für beide Extensions stehen Updates im TER bereit.

Nach ein paar Tagen der Stille (viel um die Ohren) habe ich euch erneut die News der letzten Tage zusammengefasst. Somit habt ihr die wichtigesten Neuheiten und Infos auf einen Blick. Vielleicht werde ich auf einzelne Punkt explizit nochmal eingehen, aber ihr wisst ja wie das mit der Zeit ist 😉

• Der Neos / Flow Bericht vom Oktober. Was passiert im neuen CMS? (Klick, Community-Bericht September)
• Die F3X (Webseite) von diesem Jahr, wird 2013 in dem „Inspiring FLOW“-Event aufgehen. Nicht nur der Name ist neu, sondern es wird auch von Deutsch auf English gewechelt. (Klick / hier entsteht die Webseite)
• Alle Videos von der TYPO3 Konferenz 2012 (mehr Infos) gibt es hier zum Download (Klick)
• Es gibt einen neuen Blog von Matthias Witte in dem sich alles um TYPO3 Neos dreht. Seit Anfang Oktober gibt es hier Tutorials und Tipps zum neuen CMS (Klick)
• bugs.typo3.org, unser „altes“ Bugtracking-System, wird die Tore schließen! Es gibt eine Übergangsphase, welche hier beschrieben ist. Alte Extensions sollten somit ins Forge „umziehen“ (Klick)
• Wer bereits FLOW3 im Einsatz hatte und nun auf TYPO3 Flow wecheln will, sollte sich diesen Artikel durchlesen. Danke Karsten. (Klick)
• typo3blogger.de ist auf der Internet Worldmap zu finden (Klick). Das freut uns, denn nicht jede Wald-und-Wiesen-Seite ist dort zu sehen… 🙂
• typo3.lygie.de habe ich kürzlich entdeckt. Hier dreht sich alles um TYPO3 und Performance. (Klick)
• Wer sich über das „Nichterscheinen“ von TYPO3 CMS 6.0 wundern sollte, hat wahrscheinlich noch nicht den neuen Release-Plan gesehen (Klick). Ich denke es wird noch ein wenig Verzug rein kommen (heute ist ja der 6.). Viel wichtiger ist jedoch, dass wenn die nächste Version kommt (RC1), wieder getestet, getestet und getestet wird!

Gestern wurde ein Security Bulletin für die Extension Powermail veröffentlicht (zum Bulletin). Betroffen ist der alte 1.x-Branch aber auch die neue 2.x Version. Dabei geht es bei beiden Extensions um verschiedene Lücken, welche ingesammt als Medium eingestuft wurden. Die aktuelle 2.x Version gibt es direkt im Repository und die aus dem Vorgänger-Baum kann man sich direkt hier herunterladen: http://ter.cablan.net/ter/p/o/powermail_1.6.9.t3x

Also wie immer…. fix updaten!

Als Mitglied des TYPO3 Security Team liegt einem die Sicherheit des Webs und insbesonders von TYPO3 am Herzen. Gerade eben bin ich auf eine einfache Tatsache gestoßen: Unsichere Extensions und Suchmaschinenoptimierungen vertragen sich nicht.

Weiterlesen "Unsichere Extensions & SEO vertragen sicht nicht"

Zusätzlich zu den Security Bulletins für Extensions hat das Security Team auch zwei Security Bulletins zum TYPO3 Core und zum FLOW3 Framework veröffentlicht:

TYPO3-CORE-SA-2012-001

Betroffen sind folgende TYPO3 Versionen:

4.4.0 bis 4.4.13
4.5.0 bis 4.5.13
4.6.0 bis 4.6.6

Die TYPO3 Versionen 4.4.14, 4.5.14 und 4.6.7 beheben die Sicherheitslücken.

FLOW3-SA-2012-001

Betroffen sind alle Versionen bis FLOW3 1.0.3. Die Version 1.0.4 behebt die Sicherheitslücke.

Ein Update von TYPO3 bzw. FLOW3 ist dringend angeraten!