Para um sistema de gestão de conteúdo livre , escrito em Python utilizando o servidor de aplicações Zope, patches para correção de (IDs CVE ainda não atribuídos). Os problemas afetam todas as versões atuais do Plone, incluindo a versão lançada há poucos dias . Os problemas estão previstos para serem corrigidos nas próximas versões do Plone 4.3.20, 5.1.7 e 5.2.2, antes das quais é recomendado utilizar .
As vulnerabilidades identificadas (detalhes ainda não divulgados):
- Elevação de privilégios através da manipulação da Rest API (manifesta-se apenas com o plone.restapi ativado);
- Injeção de SQL devido à falta de escape das construções SQL em DTML e objetos de conexão com o SGBD (o problema é específico de e se manifesta em outros aplicativos baseados nele);
- Possibilidade de sobrescrição de conteúdo através de manipulação do método PUT sem permissões de gravação;
- Redirecionamento aberto na página de login;
- Possibilidade de inserir links externos maliciosos contornando a verificação isURLInPortal;
- Falha na verificação de força de senha em alguns casos;
- Cross-site scripting (XSS) através de injeção de código em campo de cabeçalho.
Fonte: opennet.ru
