CVE-2021-32633
Açıklama
Zope, açık kaynaklı bir web uygulama sunucusudur. Zope'un 4.6 ve 5.2 öncesindeki sürümlerinde kullanıcılar, doğrudan kullanıma uygun olan Python modülleri aracılığıyla güvenilmeyen modüllere dolaylı olarak erişebilirler. Varsayılan olarak yalnızca Manager rolüne sahip kullanıcılar web üzerinden Zope Page Templates ekleyebilir veya düzenleyebilir; ancak güvenilmeyen kullanıcıların web üzerinden Zope Page Templates eklemesine/düzenlemesine izin veren siteler bu güvenlik açığı nedeniyle risk altındadır. Sorun Zope 5.2 ve 4.6 sürümlerinde giderilmiştir. Geçici bir çözüm olarak, bir site yöneticisi standart Zope kullanıcı/rol izin mekanizmalarını kullanarak web üzerinden Zope Page Templates ekleme/düzenleme işlemlerini kısıtlayabilir. Güvenilmeyen kullanıcılara Zope Manager rolü atanmamalı ve web üzerinden Zope Page Templates ekleme/düzenleme işlemleri yalnızca güvenilen kullanıcılarla sınırlandırılmalıdır.
Nasıl düzeltilir
- zope zope4.6, 5.2 ya da sonraki bir sürüm
- zope4.6, 5.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zope zope | v < 4.6, 5.0 ≤ v < 5.2 | 4.6, 5.2 |
| plone plone | v ≤ 4.3.20, 5.0 ≤ v ≤ 5.2.4 | — |
| zopePyPI | v < 4.6, 5.0 ≤ v < 5.2 | 4.6, 5.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.