Bezmaksas satura pārvaldības sistēmai , kas rakstīts Python, izmantojot Zope lietojumprogrammu serveri, plāksteri ar likvidēšanu (CVE identifikatori vēl nav piešķirti). Problēmas skar visus pašreizējos Plone laidienus, tostarp pirms dažām dienām izlaisto . Problēmas plānots novērst nākamajos Plone 4.3.20, 5.1.7 un 5.2.2 laidienos, pirms kuru publicēšanas ieteicams izmantot .
Identificētās ievainojamības (sīkāka informācija vēl nav izpausta):
- Privilēģiju paaugstināšana, manipulējot ar Rest API (parādās tikai tad, ja ir iespējots plone.restapi);
- SQL koda aizstāšana sakarā ar nepietiekamu SQL konstrukciju aizbēgšanu DTML un objektu savienošanai ar DBVS (problēma ir specifiska un parādās citās uz to balstītās lietojumprogrammās);
- Iespēja pārrakstīt saturu, veicot manipulācijas ar PUT metodi, bez rakstīšanas tiesībām;
- Atveriet novirzīšanu pieteikšanās formā;
- Iespēja pārsūtīt ļaunprātīgas ārējās saites, apejot pārbaudi isURLInPortal;
- Dažos gadījumos paroles stipruma pārbaude neizdodas;
- Vairāku vietņu skriptēšana (XSS), izmantojot koda aizstāšanu virsraksta laukā.
Avots: opennet.ru