CVE-2026-55248
KrytyczneCVSS 9.1Streszczenie
plone.app.portlets przed wersjami 5.0.8, 6.0.4 i 7.0.2 pozwala członkowi z możliwością dodania portletu RSS na ustawienie adresu URL kanału na bardzo dużą odpowiedź, co powoduje nadmierne pobieranie danych do pamięci i odmowę usługi. Obsługa adresów URL RSS akceptuje wewnętrzne hosty, adresy IP, domeny jednowyrazowe i jawne porty, umożliwiając żądania po stronie serwera do wewnętrznych usług. Złośliwy element kanału może również dostarczyć adres URL JavaScript, który jest przechowywany jako link i może wykonać skrypt u ofiary. Problem naprawiono w wersjach 5.0.8, 6.0.4 i 7.0.2.
Ocena ryzyka
Podatność umożliwia atakującemu przeprowadzenie ataków SSRF, wyczerpanie zasobów serwera (DoS) oraz wykonanie skryptów w przeglądarce ofiary (XSS), co może naruszyć poufność i integralność systemu.
Rekomendacja
Zaleca się aktualizację plone.app.portlets do wersji 5.0.8, 6.0.4 lub 7.0.2 oraz ograniczenie uprawnień do dodawania portletów RSS tylko zaufanym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
plone.app.portlets provides portlets and a Plone-specific user interface for plone.portlets. Prior to 5.0.8, 6.0.4, and 7.0.2, a member who can add an RSS portlet can set its feed URL to a very large response, causing src/plone/app/portlets/portlets/rss.py to download and retain excessive data in memory and deny service. The same RSS URL handling accepts internal hosts, IP addresses, single-word domains, and explicit ports, allowing server-side requests that can probe internal network services and open ports. A malicious feed item can also supply a JavaScript URL that is retained as the item link and can execute script when used by a victim. The affected logic includes _rss_feed_url_validator, _normal_url_validator, RSSFeed._retrieveFeed, RSSFeed._buildItemDict, and the FEED_DATA in-memory cache. This issue is fixed in versions 5.0.8, 6.0.4, and 7.0.2.