CVE-2026-57149

plone.app.portlets.portlets, plone.portlets üçün Plone-a xas istifadəçi interfeysi, həmçinin Plone ilə birlikdə təqdim olunan standart portletlər dəstini təmin edir. Versiya 5.0.0-dan başlayaraq və 5.0.8, 6.0.4 və 7.0.2 versiyalarından əvvəlki versiyalarda, Classic portleti (plone.app.portlets.portlets.classic), TAL path() köməkçisi tərəfindən qiymətləndirilən TALES yol ifadəsini qurmaq üçün istifadəçi tərəfindən təmin edilən şablon/makro sahələrindən istifadə edirdi. Dəyər tam TALES ifadəsi kimi şərh edildiyi üçün, Classic portletini əlavə etmək və ya redaktə etmək imkanı olan istifadəçi, sadə yol keçidindən (path traversal) yayınan və ixtiyari kod kimi qiymətləndirilən xüsusi hazırlanmış dəyər daxil edə bilərdi. Bu, Classic portletini konfiqurasiya edə bilən hər hansı autentifikasiya olunmuş istifadəçi tərəfindən istismar edilə bilər ki, bu da standart rol xəritəsi ilə fərdi idarəetmə panellərindəki adi istifadəçiləri də əhatə edir. Nəticədə, Plone prosesinin kontekstində kodun icrası, yəni autentifikasiya olunmuş veb istifadəçi ilə server tərəfli proses arasındakı etibar sərhədlərini aşan imtiyazların yüksəldilməsi baş verir. Problem `plone.app.portlets` 5.0.8, 6.0.4 və 7.0.2 versiyalarında aradan qaldırılıb. Bəzi müvəqqəti həll yolları mövcuddur. Portletləri kimin idarə edə biləcəyini məhdudlaşdırın: `plone.app.portlets.ManageOwnPortlets` icazəsini etibarsız rollardan çıxarın və portletlərin idarə edilməsini yalnız etibarlı administratorlarla məhdudlaşdırın (adətən bu artıq Manager və Site Administrator rolları ilə məhdudlaşdırılıb). Classic portletinə ehtiyac olmadığı hallarda, onun əlavə edilməməsi üçün onu qeydiyyatdan çıxarın. Bunun üçün öz kodunuzdakı `portlets.xml` faylını redaktə etmək lazımdır. Həmçinin, şablonunu fərdiləşdirərək classic portletinin göstərilməsini effektiv şəkildə söndürmək olar. Zope Management Interface-də `portal_view_customizations` alətinə keçin, `classic.pt` şablonunu tapın və üzərinə klikləyin. Customize düyməsini sıxın. Bütün mətni silin və onu `<div>The classic portlet was disabled.</div>` ilə əvəz edin. (Bu, şablonu fərdiləşdirməyin tövsiyə olunan yolu deyil, lakin bu halda kifayət qədər effektivdir.)