CVE-2012-5493
WysokieStreszczenie
W pliku gtbn.py w Plone przed wersją 4.2.3 oraz 4.3 przed wersją beta 1, zdalni uwierzytelnieni użytkownicy z określonymi uprawnieniami mogą obejść piaskownicę Pythona i wykonywać dowolny kod Pythona za pomocą nieokreślonych wektorów.
Ocena ryzyka
Możliwość wykonania dowolnego kodu Pythona przez zdalnych użytkowników stwarza poważne zagrożenie dla integralności i bezpieczeństwa systemu, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację Plone do wersji 4.2.3 lub nowszej, aby zlikwidować tę podatność oraz przegląd uprawnień użytkowników w systemie.
Inne podatności w Plone
Zobacz wszystkie- CVE-2015-7318Wysokie
Plone w wersjach od 3.3.0 do 3.3.6 umożliwia zdalnym atakującym wstrzykiwanie nagłówków do odpowiedzi HTTP.
- CVE-2016-4041Wysokie
Plone w wersjach od 4.0 do 5.1a1 nie posiada deklaracji zabezpieczeń dla żądań WebDAV związanych z treścią Dexterity, co umożliwia zdalnym atakującym uzyskanie dostępu do WebDAV za pomocą nieokreślonych wektorów.
- CVE-2012-5487Wysokie
Funkcja białej listy piaskownicy (allowmodule.py) w Plone przed wersją 4.2.3 oraz 4.3 przed beta 1 pozwala zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami na obejście ograniczeń piaskownicy Pythona i wykonanie dowolnego kodu Pythona poprzez odpowiednie wektory związane z importowaniem.
- CVE-2024-23054Krytyczne
W obrazie Dockera Plone 5.2.13 (5221) wykryto problem polegający na tym, że pakiet wymieniony w ścieżce ++plone++static/components nie istnieje w publicznym indeksie pakietów npm. Może to umożliwić zdalne wykonanie kodu.
- CVE-2024-23055Średnie
W oficjalnym obrazie Dockera Plone w wersji 5.2.13 (5221) wykryto podatność umożliwiającą zdalne wykonanie kodu. Problem wynika z nieprawidłowej walidacji nagłówków HOST przez oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
gtbn.py in Plone before 4.2.3 and 4.3 before beta 1 allows remote authenticated users with certain permissions to bypass the Python sandbox and execute arbitrary Python code via unspecified vectors.