CVE-2024-23055
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W oficjalnym obrazie Dockera Plone w wersji 5.2.13 (5221) wykryto podatność umożliwiającą zdalne wykonanie kodu. Problem wynika z nieprawidłowej walidacji nagłówków HOST przez oprogramowanie.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania dowolnego kodu na serwerze, co prowadzi do pełnej kompromitacji systemu i potencjalnej utraty danych.
Rekomendacja
Należy natychmiast zaktualizować obraz Dockera Plone do najnowszej wersji, która zawiera poprawkę walidacji nagłówków HOST. Do czasu aktualizacji zaleca się ograniczenie dostępu do serwera oraz stosowanie zapory sieciowej.
Inne podatności w Plone
Zobacz wszystkie- CVE-2015-7318Wysokie
Plone w wersjach od 3.3.0 do 3.3.6 umożliwia zdalnym atakującym wstrzykiwanie nagłówków do odpowiedzi HTTP.
- CVE-2016-4041Wysokie
Plone w wersjach od 4.0 do 5.1a1 nie posiada deklaracji zabezpieczeń dla żądań WebDAV związanych z treścią Dexterity, co umożliwia zdalnym atakującym uzyskanie dostępu do WebDAV za pomocą nieokreślonych wektorów.
- CVE-2012-5493Wysokie
W pliku gtbn.py w Plone przed wersją 4.2.3 oraz 4.3 przed wersją beta 1, zdalni uwierzytelnieni użytkownicy z określonymi uprawnieniami mogą obejść piaskownicę Pythona i wykonywać dowolny kod Pythona za pomocą nieokreślonych wektorów.
- CVE-2012-5487Wysokie
Funkcja białej listy piaskownicy (allowmodule.py) w Plone przed wersją 4.2.3 oraz 4.3 przed beta 1 pozwala zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami na obejście ograniczeń piaskownicy Pythona i wykonanie dowolnego kodu Pythona poprzez odpowiednie wektory związane z importowaniem.
- CVE-2024-23054Krytyczne
W obrazie Dockera Plone 5.2.13 (5221) wykryto problem polegający na tym, że pakiet wymieniony w ścieżce ++plone++static/components nie istnieje w publicznym indeksie pakietów npm. Może to umożliwić zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
An issue in Plone Docker Official Image 5.2.13 (5221) open-source software allows for remote code execution via improper validation of input by the HOST headers.