För ett fritt innehållshanteringssystem , skrivet i Python med användning av applikationsservern Zope, patchar som åtgärdar (CVE-identifieringar har ännu inte tilldelats). Problemet påverkar alla aktuella versioner av Plone, inklusive versionen som skapades för några dagar sedan . Problemen planeras att åtgärdas i kommande versioner av Plone 4.3.20, 5.1.7 och 5.2.2, och fram till dess rekommenderas att använda .
De identifierade sårbarheterna (detaljer avslöjas ännu inte):
- Ökning av privilegier via manipulation av Rest API (från och med endast när plone.restapi är aktiverat);
- SQL-injektion på grund av otillräcklig sanering av SQL-konstruktioner i DTML och objekt för databasanslutning (problemet är specifikt för och visar sig i andra applikationer baserade på det);
- Möjlighet att skriva över innehåll genom manipulation av PUT-metoden utan skrivbehörighet;
- Öppen omdirigering i inloggningsformuläret;
- Möjlighet att skicka skadliga externa länkar som går förbi kontrollen av isURLInPortal;
- Kontroll av lösenordets styrka fungerar inte i vissa fall;
- Cross-Site Scripting (XSS) genom kodinjektion i ett fält med rubrik.
Källa: opennet.ru
