🥇7 kerentanan ing sistem manajemen konten Plone

Kanggo sistem manajemen konten gratis pesawat, ditulis nganggo Python nggunakake server aplikasi Zope, diterbitake patch karo eliminasi 7 kerentanan (Identifikasi CVE durung diwenehi). Masalah kasebut mengaruhi kabeh rilis Plone saiki, kalebu rilis sing dirilis sawetara dina kepungkur 5.2.1. Masalah kasebut direncanakake bakal didandani ing rilis mangsa Plone 4.3.20, 5.1.7 lan 5.2.2, sadurunge diterbitake sing disaranake nggunakake hotfix.

Kerentanan sing diidentifikasi (detail durung diungkapake):

Elevasi hak istimewa liwat manipulasi saka Rest API (katon mung nalika plone.restapi diaktifake);
Substitusi kode SQL amarga ora cukup mlayu saka konstruksi SQL ing DTML lan obyek kanggo nyambungake menyang DBMS (masalah khusus kanggo Zope lan katon ing aplikasi liyane adhedhasar iku);
Kemampuan kanggo nulis ulang isi liwat manipulasi kanthi metode PUT tanpa duwe hak nulis;
Bukak pangalihan ing formulir login;
Kamungkinan ngirim pranala njaba angkoro liwat mriksa isURLInPortal;
Priksa kekuatan sandi gagal ing sawetara kasus;
Cross-site scripting (XSS) liwat substitusi kode ing kolom judhul.

Source: opennet.ru

7 Kerentanan ing Sistem Manajemen Konten Plone