7 ຊ່ອງໂຫວ່ໃນລະບົບການຈັດການເນື້ອຫາຂອງ Plone

ສໍາລັບລະບົບການຈັດການເນື້ອຫາຟຣີ ແປນ, ຂຽນໃນ Python ໂດຍໃຊ້ເຄື່ອງແມ່ຂ່າຍຂອງແອັບພລິເຄຊັນ Zope, ຈັດພີມມາ ເພີ້ມທີ່ມີການກໍາຈັດ 7 ຈຸດອ່ອນ (ຕົວລະບຸ CVE ຍັງບໍ່ທັນໄດ້ມອບໝາຍ). ບັນຫາດັ່ງກ່າວມີຜົນກະທົບຕໍ່ການປ່ອຍ Plone ໃນປະຈຸບັນທັງຫມົດ, ລວມທັງການປ່ອຍອອກມາເມື່ອສອງສາມມື້ກ່ອນຫນ້ານີ້ 5.2.1. ບັນຫາໄດ້ຖືກວາງແຜນທີ່ຈະແກ້ໄຂໃນການປ່ອຍຕົວໃນອະນາຄົດຂອງ Plone 4.3.20, 5.1.7 ແລະ 5.2.2, ກ່ອນທີ່ຈະເຜີຍແຜ່, ເຊິ່ງແນະນໍາໃຫ້ໃຊ້. hotfix.

ຊ່ອງ​ໂຫວ່​ທີ່​ລະ​ບຸ​ໄວ້ (ລາຍ​ລະ​ອຽດ​ຍັງ​ບໍ່​ໄດ້​ເປີດ​ເຜີຍ​)​:

• ການຍົກລະດັບສິດທິພິເສດໂດຍຜ່ານການຈັດການຂອງ Rest API (ປາກົດພຽງແຕ່ເມື່ອ plone.restapi ຖືກເປີດໃຊ້);
• ການທົດແທນລະຫັດ SQL ເນື່ອງຈາກການຫລົບຫນີທີ່ບໍ່ພຽງພໍຂອງໂຄງສ້າງ SQL ໃນ DTML ແລະວັດຖຸສໍາລັບການເຊື່ອມຕໍ່ກັບ DBMS (ບັນຫາແມ່ນສະເພາະກັບ. Zope ແລະປະກົດຢູ່ໃນຄໍາຮ້ອງສະຫມັກອື່ນໆໂດຍອີງໃສ່ມັນ);
• ຄວາມສາມາດໃນການຂຽນຄືນເນື້ອໃນໂດຍຜ່ານການຫມູນໃຊ້ດ້ວຍວິທີການ PUT ໂດຍບໍ່ມີສິດທິໃນການຂຽນ;
• ເປີດການປ່ຽນເສັ້ນທາງໃນຮູບແບບເຂົ້າສູ່ລະບົບ;
• ຄວາມເປັນໄປໄດ້ຂອງການສົ່ງການເຊື່ອມຕໍ່ພາຍນອກທີ່ເປັນອັນຕະລາຍ bypassing ການກວດສອບ isURLInPortal;
• ການກວດສອບຄວາມເຂັ້ມຂອງລະຫັດຜ່ານລົ້ມເຫລວໃນບາງກໍລະນີ;
• ການສະຄຣິບຂ້າມເວັບໄຊ (XSS) ໂດຍຜ່ານການປ່ຽນລະຫັດໃນຊ່ອງຫົວຂໍ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru