Pre bezplatný systém správy obsahu , napísaný v jazyku Python s použitím aplikačného servera Zope, opravy odstránenia (CVE identifikátory zatiaľ neboli priradené). Problémy sa týkajú všetkých aktuálnych vydaní Plone, vrátane nedávno vygenerovaného vydania . Opravy sa plánujú v budúcich vydaniach Plone 4.3.20, 5.1.7 a 5.2.2, pred ich uverejnením sa odporúča používať .
Identifikované zraniteľnosti (detaily zatiaľ neboli zverejnené):
- Zvýšenie oprávnení prostredníctvom manipulácie s Rest API (prejavuje sa len pri aktivácii plone.restapi);
- Vkladanie SQL kódu z dôvodu nedostatočného escapovania SQL výrazov v DTML a objektoch pre spojenie s DBMS (problém je špecifický pre a prejavuje sa v iných aplikáciách založených na ňom);
- Možnosť prepísania obsahu prostredníctvom manipulácie s metodou PUT bez potrebných práv na zápis;
- Otvorený presmerovanie na prihlasovacej forme;
- Možnosť odosielania škodlivých externých odkazov obídením kontroly isURLInPortal;
- Nefunkčnost kontroly sily hesla v niektorých prípadoch;
- Medziwebové skriptovanie (XSS) prostredníctvom vkladania kódu do poľa s nadpisom.
Zdroj: opennet.ru
