关键漏洞信息 漏洞概述 漏洞类型: Cross-Site Scripting (XSS) 影响组件: Bootstrap Package (bootstrap_package) 影响版本: 11.0.0 - 11.0.2, 10.0.0 - 10.0.9, 9.0.0 - 9.0.3, 9.1.0 - 9.1.2, 8.0.0 - 8.0.7, 7.1.1 及以下版本 严重性: Medium CVE 参考: CVE-2021-21365 建议 CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N/E:F/RL:O/RC:C 问题描述 描述: 扩展在 HTML 上下文中未能正确编码用户输入。受影响的模板包括： - Resources/Private/Partials/ContentElements/Carousel/Item/CallToAction.html - Resources/Private/Partials/ContentElements/Carousel/Item/Header.html - Resources/Private/Partials/ContentElements/Carousel/Item/Text.html - Resources/Private/Partials/ContentElements/Carousel/Item/TextAndImage.html - Resources/Private/Partials/ContentElements/Header/SubHeader.html 漏洞代码示例 易受攻击的代码: 安全的代码: 解决方案 更新版本: 7.1.2, 8.0.8, 9.0.4, 9.1.3, 10.0.10, 11.0.3 可从 TYPO3 扩展管理器、Packagist 和以下链接下载： - 7.1.2 - 8.0.8 - 9.0.4 - 9.1.3 - 10.0.10 - 11.0.3 致谢 报告和修复者: TYPO3 安全团队成员 Oliver Hader