Pro svobodný systém pro správu obsahu , napsaný v jazyce Python s použitím aplikačního serveru Zope, záplaty na odstranění (CVE identifikátory zatím nebyly přiřazeny). Problémy se týkají všech aktuálních verzí Plone, včetně verzí vydaných před několika dny . Problémy plánujeme vyřešit v budoucích verzích Plone 4.3.20, 5.1.7 a 5.2.2, před jejich zveřejněním se doporučuje používat .
Zjištěné zranitelnosti (podrobnosti zatím nejsou zveřejněny):
- Zvýšení oprávnění prostřednictvím manipulace s Rest API (projevuje se pouze při zapnutí plone.restapi);
- Vkládání SQL kódu kvůli nedostatečnému escapování SQL konstrukcí v DTML a objektech pro připojení k DB (problém specifický pro a projevuje se v jiných aplikacích založených na něm);
- Možnost přepisování obsahu prostřednictvím manipulace s metodou PUT bez potřebných zápisových oprávnění;
- Otevřený redirect na přihlašovací stránce;
- Možnost předávání škodlivých externích odkazů bez kontroly isURLInPortal;
- Nefunkčnost kontroly spolehlivosti hesla v některých případech;
- Mezisite skryptování (XSS) prostřednictvím vkládání kódu do pole s hlavičkou.
Zdroj: opennet.ru
