CVE-2015-7318
WysokieStreszczenie
Plone w wersjach od 3.3.0 do 3.3.6 umożliwia zdalnym atakującym wstrzykiwanie nagłówków do odpowiedzi HTTP.
Ocena ryzyka
Atakujący mogą manipulować odpowiedziami serwera, co może prowadzić do wycieku informacji lub ataków typu phishing.
Rekomendacja
Zaleca się aktualizację Plone do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w Plone
Zobacz wszystkie- CVE-2016-4041Wysokie
Plone w wersjach od 4.0 do 5.1a1 nie posiada deklaracji zabezpieczeń dla żądań WebDAV związanych z treścią Dexterity, co umożliwia zdalnym atakującym uzyskanie dostępu do WebDAV za pomocą nieokreślonych wektorów.
- CVE-2012-5493Wysokie
W pliku gtbn.py w Plone przed wersją 4.2.3 oraz 4.3 przed wersją beta 1, zdalni uwierzytelnieni użytkownicy z określonymi uprawnieniami mogą obejść piaskownicę Pythona i wykonywać dowolny kod Pythona za pomocą nieokreślonych wektorów.
- CVE-2012-5487Wysokie
Funkcja białej listy piaskownicy (allowmodule.py) w Plone przed wersją 4.2.3 oraz 4.3 przed beta 1 pozwala zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami na obejście ograniczeń piaskownicy Pythona i wykonanie dowolnego kodu Pythona poprzez odpowiednie wektory związane z importowaniem.
- CVE-2024-23054Krytyczne
W obrazie Dockera Plone 5.2.13 (5221) wykryto problem polegający na tym, że pakiet wymieniony w ścieżce ++plone++static/components nie istnieje w publicznym indeksie pakietów npm. Może to umożliwić zdalne wykonanie kodu.
- CVE-2024-23055Średnie
W oficjalnym obrazie Dockera Plone w wersji 5.2.13 (5221) wykryto podatność umożliwiającą zdalne wykonanie kodu. Problem wynika z nieprawidłowej walidacji nagłówków HOST przez oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
Plone 3.3.0 through 3.3.6 allows remote attackers to inject headers into HTTP responses.