CVE-2026-55247

plone.app.event, Plone üçün tədbir məzmun tipini təmin edir. Versiya 5.2.4 və 6.0.1-dən əvvəl, src/plone/app/event/ical/importer.py faylındakı iCalendar idxalı kifayət qədər məhdudlaşdırılmamış təqvim və tədbir URL-lərini qəbul edir, yüklənən baytları və ya idxal edilən tədbirləri adekvat şəkildə məhdudlaşdırmır və hər tədbir üzrə işi commit edir. Sistemə daxil olmuş redaktor serveri daxili şəbəkə resurslarını və ya yerli təqvim fayllarını sorğulamağa məcbur edə bilər, resursları tükədərək saytı xidmətdən kənarlaşdıra bilər və digər istifadəçinin brauzerində skripti icra edən zərərli tədbir URL-ni saxlaya bilər. Düzəliş qəbul edilən URL-ləri məhdudlaşdırır, MAXIMUM_ICAL_IMPORT_SIZE_BYTES və MAXIMUM_ICAL_IMPORT_EVENTS limitlərini tətbiq edir, tranzaksiya yaddaş nöqtələrindən (savepoints) istifadə edir və tədbir URL-lərini təsdiqləyir. Bu problem 5.2.4 və 6.0.1 versiyalarında düzəldilmişdir.