CVE-2016-4041
WysokieStreszczenie
Plone w wersjach od 4.0 do 5.1a1 nie posiada deklaracji zabezpieczeń dla żądań WebDAV związanych z treścią Dexterity, co umożliwia zdalnym atakującym uzyskanie dostępu do WebDAV za pomocą nieokreślonych wektorów.
Ocena ryzyka
Brak odpowiednich zabezpieczeń może prowadzić do nieautoryzowanego dostępu do danych przechowywanych w systemie, co stwarza poważne zagrożenie dla integralności i poufności informacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Plone, która zawiera poprawki zabezpieczeń dotyczące żądań WebDAV.
Inne podatności w Plone
Zobacz wszystkie- CVE-2015-7318Wysokie
Plone w wersjach od 3.3.0 do 3.3.6 umożliwia zdalnym atakującym wstrzykiwanie nagłówków do odpowiedzi HTTP.
- CVE-2012-5493Wysokie
W pliku gtbn.py w Plone przed wersją 4.2.3 oraz 4.3 przed wersją beta 1, zdalni uwierzytelnieni użytkownicy z określonymi uprawnieniami mogą obejść piaskownicę Pythona i wykonywać dowolny kod Pythona za pomocą nieokreślonych wektorów.
- CVE-2012-5487Wysokie
Funkcja białej listy piaskownicy (allowmodule.py) w Plone przed wersją 4.2.3 oraz 4.3 przed beta 1 pozwala zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami na obejście ograniczeń piaskownicy Pythona i wykonanie dowolnego kodu Pythona poprzez odpowiednie wektory związane z importowaniem.
- CVE-2024-23054Krytyczne
W obrazie Dockera Plone 5.2.13 (5221) wykryto problem polegający na tym, że pakiet wymieniony w ścieżce ++plone++static/components nie istnieje w publicznym indeksie pakietów npm. Może to umożliwić zdalne wykonanie kodu.
- CVE-2024-23055Średnie
W oficjalnym obrazie Dockera Plone w wersji 5.2.13 (5221) wykryto podatność umożliwiającą zdalne wykonanie kodu. Problem wynika z nieprawidłowej walidacji nagłówków HOST przez oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
Plone 4.0 through 5.1a1 does not have security declarations for Dexterity content-related WebDAV requests, which allows remote attackers to gain webdav access via unspecified vectors.