CVE-2026-55248

KrytyczneCVSS 9.1

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

plone.app.portlets przed wersjami 5.0.8, 6.0.4 i 7.0.2 pozwala członkowi z możliwością dodania portletu RSS na ustawienie adresu URL kanału na bardzo dużą odpowiedź, co powoduje nadmierne pobieranie danych do pamięci i odmowę usługi. Obsługa adresów URL RSS akceptuje wewnętrzne hosty, adresy IP, domeny jednowyrazowe i jawne porty, umożliwiając żądania po stronie serwera do wewnętrznych usług. Złośliwy element kanału może również dostarczyć adres URL JavaScript, który jest przechowywany jako link i może wykonać skrypt u ofiary. Problem naprawiono w wersjach 5.0.8, 6.0.4 i 7.0.2.

Ocena ryzyka

Podatność umożliwia atakującemu przeprowadzenie ataków SSRF, wyczerpanie zasobów serwera (DoS) oraz wykonanie skryptów w przeglądarce ofiary (XSS), co może naruszyć poufność i integralność systemu.

Rekomendacja

Zaleca się aktualizację plone.app.portlets do wersji 5.0.8, 6.0.4 lub 7.0.2 oraz ograniczenie uprawnień do dodawania portletów RSS tylko zaufanym użytkownikom.

Inne podatności w plone.app.portlets

CVE-2026-57149Krytyczne
Podatność w pakiecie plone.app.portlets umożliwia wykonanie dowolnego kodu przez uwierzytelnionego użytkownika, który może dodawać lub edytować klasyczny portlet. Dzieje się tak, ponieważ pole szablonu/makra jest interpretowane jako pełne wyrażenie TALES, co pozwala na eskalację uprawnień poza granicę zaufania między użytkownikiem a procesem serwera.

Oryginalny opis (angielski, źródło NVD)

plone.app.portlets provides portlets and a Plone-specific user interface for plone.portlets. Prior to 5.0.8, 6.0.4, and 7.0.2, a member who can add an RSS portlet can set its feed URL to a very large response, causing src/plone/app/portlets/portlets/rss.py to download and retain excessive data in memory and deny service. The same RSS URL handling accepts internal hosts, IP addresses, single-word domains, and explicit ports, allowing server-side requests that can probe internal network services and open ports. A malicious feed item can also supply a JavaScript URL that is retained as the item link and can execute script when used by a victim. The affected logic includes _rss_feed_url_validator, _normal_url_validator, RSSFeed._retrieveFeed, RSSFeed._buildItemDict, and the FEED_DATA in-memory cache. This issue is fixed in versions 5.0.8, 6.0.4, and 7.0.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS