Til det frie indholdsstyringssystem , skrevet i Python med Zope applikationsserveren, patches med rettelser for (CVE-identifierne er endnu ikke tildelt). Problemerne berører alle aktuelle versioner af Plone, inklusive den version, der blev offentliggjort for et par dage siden . Problemerne forventes løst i kommende versioner af Plone 4.3.20, 5.1.7 og 5.2.2, og indtil disse er offentliggjort, anbefales det at bruge .
De opdagede sårbarheder (detaljer er endnu ikke offentliggjort):
- Hævning af privilegier via manipulation med Rest API (forekommer kun ved aktivering af plone.restapi);
- SQL-injektion på grund af utilstrækkelig escaping af SQL-udtryk i DTML og objekter til forbindelse med databasen (problemet er specifikt for og forekommer i andre applikationer baseret på det);
- Mulighed for at overskrive indhold gennem manipulation med PUT-metoden uden at have skriveadgang;
- Åben omdirigering i login-formularen;
- Mulighed for at sende ondsindede eksterne links uden om isURLInPortal kontrollen;
- Uvirksom kontrol af adgangskoden i nogle tilfælde;
- Cross-site scripting (XSS) via kodeindsættelse i et felt med header.
Kilde: opennet.ru
