Для вільної системи керування контентом , написаної мовою Python з використанням сервера програм Zope, патчі з усуненням (CVE-ідентифікатори поки що не присвоєно). Проблеми торкаються всіх актуальних випусків Plone, включаючи сформований кілька днів тому випуск . Проблеми планується усунути у майбутніх випусках Plone 4.3.20, 5.1.7 та 5.2.2, до публікації яких пропонується використовувати .
Виявлені вразливості (деталі поки що не розкриваються):
- Підвищення привілеїв через маніпуляцію з Rest API (проявляється лише при включенні plone.restapi);
- Підстановка SQL-коду через недостатнє екранування SQL-конструкцій у DTML та об'єктах для з'єднання з СУБД (проблема специфічна для і проявляється в інших програмах на його основі);
- можливість перезапису контенту через маніпуляції з методом PUT без наявності прав на запис;
- Відкритий редирект у формі входу;
- Можливість передачі шкідливих зовнішніх посилань в обхід перевірки єURLInPortal;
- Неспрацьовування перевірки надійності пароля у деяких випадках;
- Міжсайтовий скриптинг (XSS) через підстановку коду у полі із заголовком.
Джерело: opennet.ru