প্লোন কন্টেন্ট ম্যানেজমেন্ট সিস্টেমে 7 দুর্বলতা

একটি বিনামূল্যে বিষয়বস্তু ব্যবস্থাপনা সিস্টেমের জন্য প্লোন, Zope অ্যাপ্লিকেশন সার্ভার ব্যবহার করে পাইথনে লেখা, প্রকাশিত নির্মূল সঙ্গে প্যাচ 7 দুর্বলতা (CVE শনাক্তকারী এখনও বরাদ্দ করা হয়নি)। সমস্যাগুলি প্লোনের সমস্ত বর্তমান রিলিজকে প্রভাবিত করে, কয়েকদিন আগে প্রকাশিত রিলিজ সহ 5.2.1. প্লোন 4.3.20, 5.1.7 এবং 5.2.2 এর ভবিষ্যত রিলিজে সমস্যাগুলি সংশোধন করার পরিকল্পনা করা হয়েছে, যা প্রকাশ করার আগে এটি ব্যবহার করার পরামর্শ দেওয়া হয়েছে hotfix.

চিহ্নিত দুর্বলতা (বিস্তারিত এখনও প্রকাশ করা হয়নি):

• রেস্ট এপিআই-এর ম্যানিপুলেশনের মাধ্যমে বিশেষাধিকারের উচ্চতা (প্লোন.রেস্টাপি সক্ষম হলেই প্রদর্শিত হয়);
• ডিটিএমএল-এ এসকিউএল কনস্ট্রাক্টের অপর্যাপ্ত পালানোর কারণে এসকিউএল কোডের প্রতিস্থাপন এবং ডিবিএমএস-এর সাথে সংযোগের জন্য অবজেক্ট (সমস্যাটি নির্দিষ্ট জোপ এবং এটির উপর ভিত্তি করে অন্যান্য অ্যাপ্লিকেশনগুলিতে উপস্থিত হয়);
• লেখার অধিকার ছাড়াই PUT পদ্ধতিতে ম্যানিপুলেশনের মাধ্যমে বিষয়বস্তু পুনর্লিখন করার ক্ষমতা;
• লগইন ফর্মে পুনঃনির্দেশ খুলুন;
• isURLInPortal চেক বাইপাস করে ক্ষতিকারক বাহ্যিক লিঙ্কগুলি প্রেরণের সম্ভাবনা;
• কিছু ক্ষেত্রে পাসওয়ার্ড শক্তি পরীক্ষা ব্যর্থ হয়;
• শিরোনাম ক্ষেত্রে কোড প্রতিস্থাপনের মাধ্যমে ক্রস-সাইট স্ক্রিপ্টিং (XSS)।

উত্স: opennet.ru