ភាពងាយរងគ្រោះ 7 នៅក្នុងប្រព័ន្ធគ្រប់គ្រងមាតិកា Plone

សម្រាប់ប្រព័ន្ធគ្រប់គ្រងមាតិកាឥតគិតថ្លៃ ផ្លេនសរសេរក្នុង Python ដោយប្រើម៉ាស៊ីនមេកម្មវិធី Zope, បានផ្សព្វផ្សាយ បំណះជាមួយនឹងការលុបបំបាត់ 7 ភាពងាយរងគ្រោះ (អ្នកកំណត់អត្តសញ្ញាណ CVE មិនទាន់ត្រូវបានកំណត់នៅឡើយ)។ បញ្ហាប៉ះពាល់ដល់ការចេញផ្សាយបច្ចុប្បន្នទាំងអស់របស់ Plone រួមទាំងការចេញផ្សាយកាលពីប៉ុន្មានថ្ងៃមុន។ 5.2.1. បញ្ហាត្រូវបានគ្រោងនឹងជួសជុលនៅក្នុងការចេញផ្សាយនាពេលអនាគតនៃ Plone 4.3.20, 5.1.7 និង 5.2.2 មុនពេលបោះពុម្ពផ្សាយដែលវាត្រូវបានស្នើឱ្យប្រើ កម្មវិធីដោះស្រាយបញ្ហា.

ភាពងាយរងគ្រោះដែលបានកំណត់អត្តសញ្ញាណ (ព័ត៌មានលម្អិតមិនទាន់បង្ហាញ)៖

• ការកើនឡើងនៃសិទ្ធិតាមរយៈការរៀបចំនៃ Rest API (បង្ហាញតែនៅពេលដែល plone.restapi ត្រូវបានបើក);
• ការជំនួសកូដ SQL ដោយសារតែការរត់ចេញមិនគ្រប់គ្រាន់នៃការសាងសង់ SQL នៅក្នុង DTML និងវត្ថុសម្រាប់ភ្ជាប់ទៅ DBMS (បញ្ហាគឺជាក់លាក់ចំពោះ ហ្សូប និងលេចឡើងនៅក្នុងកម្មវិធីផ្សេងទៀតដោយផ្អែកលើវា);
• សមត្ថភាពក្នុងការសរសេរមាតិកាឡើងវិញតាមរយៈការរៀបចំដោយប្រើវិធីសាស្ត្រ PUT ដោយមិនមានសិទ្ធិសរសេរ។
• បើកការបញ្ជូនបន្តក្នុងទម្រង់ចូល;
• លទ្ធភាពនៃការបញ្ជូនតំណភ្ជាប់ខាងក្រៅដែលមានគំនិតអាក្រក់ដោយឆ្លងកាត់ការត្រួតពិនិត្យ isURLInPortal;
• ការត្រួតពិនិត្យកម្លាំងពាក្យសម្ងាត់បរាជ័យក្នុងករណីខ្លះ។
• ការសរសេរស្គ្រីបឆ្លងគេហទំព័រ (XSS) តាមរយៈការជំនួសកូដនៅក្នុងវាលចំណងជើង។

ប្រភព: opennet.ru