CVE-2026-55247
Açıklama
plone.app.event, Plone için etkinlik içerik türünü sağlar. 5.2.4 ve 6.0.1 versiyonlarından önce, src/plone/app/event/ical/importer.py içindeki iCalendar içe aktarma işlemi; yetersiz şekilde kısıtlanmış takvim ve etkinlik URL'lerini kabul etmekte, indirilen baytları veya içe aktarılan etkinlikleri yeterince sınırlandırmamakta ve her etkinlik başına işlem gerçekleştirmektedir. Oturum açmış bir editör, sunucunun dahili ağ kaynaklarını veya yerel takvim dosyalarını talep etmesini sağlayabilir, kaynakları tüketerek sitenin çevrimdışı kalmasına neden olabilir ve başka bir kullanıcının tarayıcısında betik çalıştıran kötü amaçlı bir etkinlik URL'si depolayabilir. Düzeltme; kabul edilen URL'leri kısıtlar, MAXIMUM_ICAL_IMPORT_SIZE_BYTES ve MAXIMUM_ICAL_IMPORT_EVENTS limitlerini uygular, işlem kayıt noktaları (transaction savepoints) kullanır ve etkinlik URL'lerini doğrular. Bu sorun 5.2.4 ve 6.0.1 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- plone-app-event5.2.4, 6.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plone-app-eventPyPI | v < 5.2.4, 6.0.0a1 ≤ v < 6.0.1 | 5.2.4, 6.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.