关键漏洞信息 漏洞标题 Unverified Password Change for Backend Users 影响版本 : - 受影响版本: 9.0.0-9.5.50, 10.0.0-10.4.49, 11.0.0-11.5.43, 12.0.0-12.4.30, 13.0.0-13.4.11 - 已修复版本: 9.5.51, 10.4.50, 11.5.44, 12.4.31, 13.4.12 : - 受影响版本: 9.0.0-9.5.50, 10.0.0-10.4.49, 11.0.0-11.5.43, 12.0.0-12.4.30, 13.0.0-13.4.11 - 已修复版本: 9.5.51, 10.4.50, 11.5.44, 12.4.31, 13.4.12 严重性 CVSS v3 基本指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 高 - 用户交互: 无 - 范围: 不变 - 机密性影响: 低 - 完整性影响: 低 - 可用性影响: 无 CVSS 分数: 3.8/10 CVE ID CVE-2025-47938 弱点类型 CWE-620 描述 问题: 后端用户管理界面允许在不提供当前密码的情况下更改密码。当管理员通过管理界面更新自己的帐户或修改其他用户帐户时，不需要请求当前密码进行验证。 解决方案: 升级到 TYPO3 版本 9.5.51 ELTS、10.4.50 ELTS、11.5.44 ELTS、12.4.31 LTS、13.4.12 LTS，这些版本修复了描述的问题。 注意事项 在这些版本中，管理员在更改后端用户密码时需要通过逐步身份验证（也称为 sudo 模式）来验证其身份。 致谢 感谢瑞士国家网络安全中心 (NCSC) 报告此问题，以及 TYPO3 核心和安全团队成员 Benjamin Franzke 修复此问题。 参考资料 TYPO3-CORE-SA-2025-013