Für ein freies Content-Management-System , geschrieben in der Programmiersprache Python unter Verwendung des Anwendungsservers Zope, Patches zur Behebung von (CVE-Identifizierungsnummern wurden noch nicht zugewiesen). Die Probleme betreffen alle aktuellen Versionen von Plone, einschließlich der kürzlich veröffentlichten Version . Die Probleme sollen in zukünftigen Versionen von Plone 4.3.20, 5.1.7 und 5.2.2 behoben werden, bis zur Veröffentlichung wird empfohlen, .
Die identifizierten Schwachstellen (Details werden noch nicht veröffentlicht):
- Erhöhung der Berechtigungen durch Manipulation mit der Rest-API (tritt nur auf, wenn plone.restapi aktiviert ist);
- SQL-Code-Injection aufgrund unzureichender Escape-Sequenzen in DTML und Objekten zur Verbindung mit der DBMS (Problem ist spezifisch für und tritt in anderen darauf basierenden Anwendungen auf);
- Möglichkeiten zur Überschreibung von Inhalten durch Manipulation der PUT-Methode ohne Schreibrechte;
- Offener Redirect im Anmeldeformular;
- Möglichkeit der Übertragung von bösartigen externen Links vorbehaltlich der Prüfung isURLInPortal;
- Versagen der Überprüfung der Passwortstärke in bestimmten Fällen;
- Cross-Site-Scripting (XSS) durch Code-Injection in ein Feld mit Überschrift.
Quelle: opennet.ru
