FICHE CVE

CVE-2026-47344

Publiée le 2026-06-08 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les installations TYPO3 utilisant le package `html-sanitizer` avant la version 2.3.2 sont concernées si le paramètre `ALLOW_INSECURE_RAW_TEXT` est activé. Un attaquant disposant d'un compte avec des privilèges limités peut contourner les filtres de sécurité pour injecter des scripts malveillants dans des pages, permettant potentiellement l'exécution de code dans les navigateurs d'autres utilisateurs. Cela nécessite un compte connecté et repose sur le fait qu'une victime visite une page spécifiquement conçue à cet effet.

CVSS 4.02.1 FAIBLE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79 CWE-436

Publiée2026-06-08

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

When ALLOW_INSECURE_RAW_TEXT is enabled, whitespace-variant closing tags (e.g., </style\t>) are not recognized by the sanitizer but accepted by browsers as valid end tags, allowing subsequent content to escape sanitization. This allows bypassing the cross-site scripting prevention mechanism of typo3/html-sanitizer before version 2.3.2.