CVE-2022-23599
Açıklama
Products.ATContentTypes, Plone 2.1 - 4.3 için temel içerik türleridir. Products.ATContentTypes'ın 3.0.6 sürümünden önceki sürümlerine bağımlı olan Plone sürümleri, bir saldırganın image_view_fullscreen sayfasının ele geçirilmiş bir sürümünü bir önbelleğe, örneğin Varnish'e yerleştirebildiği durumlarda yansıtılmış siteler arası betik çalıştırma ve açık yönlendirme açıklarına karşı savunmasızdır. Bu teknik önbellek zehirleme olarak bilinir. Daha sonra gelen herhangi bir ziyaretçi bu sayfadaki bir bağlantıya tıkladığında yönlendirilebilir. Genellikle yalnızca anonim kullanıcılar etkilenir, ancak bu kullanıcının önbellek ayarlarına bağlıdır. Products.ATContentTypes'ın 3.0.6 sürümü bir düzeltmeyle yayımlanmıştır. Bu sürüm Plone 5.2 üzerinde, yalnızca Python 2 ile çalışır. Geçici bir çözüm olarak, image_view_fullscreen sayfasının önbellekte saklanmadığından emin olun. Güvenlik açığı ve hafifletme önlemleri hakkında daha fazla bilgi GitHub Security Advisory'de mevcuttur.
Nasıl düzeltilir
- plone plone3.0.6 ya da sonraki bir sürüm
- products-atcontenttypes3.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plone plone | v < 3.0.6 | 3.0.6 |
| products-atcontenttypesPyPI | v < 3.0.6 | 3.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.