Nyílt forráskódú tartalomkezelő rendszer , amely Python nyelven készült a Zope alkalmazáskiszolgáló használatával, javítócsomagok a (CVE-azonosítók még nincsenek hozzárendelve). A problémák az összes aktuális Plone kiadást érintik, beleértve a néhány napja létrehozott kiadást is, . A problémák megoldását a jövőbeli Plone 4.3.20, 5.1.7 és 5.2.2 kiadásokban tervezik, a közzétételük előtt ajánlott használni a .
Felfedezett sebezhetőségek (részletek még nem nyilvánosak):
- Jogosultságnövelés a Rest API manipulációjával (csak a plone.restapi engedélyezésekor jelentkezik);
- SQL-kód beszúrása a DTML-ben és az adatbázis-kapcsolati objektumokban a SQL szerkezetek elégtelen escaping-je miatt (a probléma jellemző a -ra és más, az alapjául szolgáló alkalmazásokban jelentkezik);
- Tartalom felülírásának lehetősége a PUT metódus manipulációjával, írási jogok nélkül;
- Nyílt átirányítás a bejelentkezési űrlapban;
- Lehetőség a káros külső hivatkozások átvitelére az isURLInPortal ellenőrzés megkerülésével;
- A jelszó megbízhatósági ellenőrzése bizonyos esetekben nem működik;
- Keresztoldali szkriptnyelvek (XSS) a cím mezőben történő kódbeillesztéssel.
Forrás: opennet.ru
