Niedrig

Zope management interface vulnerable to stored cross site scripting via the title property

Veröffentlicht: 04.10.2023
Aktualisiert: 11.10.2026 15:17

Impact

The title property, available on most Zope objects, can be used to store script code that is executed while viewing the affected object in the Zope Management Interface (ZMI) because the title property is displayed unquoted in the breadcrumbs element. All versions of Zope 4 and Zope 5 are affected.

Patches

Patches will be released with Zope versions 4.8.11 and 5.8.6.

Workarounds

Make sure only Manager users can edit and view Zope objects in the Zope Management Interface. This is the default.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	zope	>= 4.0.0, < 4.8.11, >= 5.0.0, < 5.8.6	4.8.11, 5.8.6

Verweise

CVSS-Wert 3.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:N
Schwäche (CWE): CWE-79
Plattform: Python (PyPI)
Paket: zope
Veröffentlicht: 04.10.2023
Aktualisiert: 11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2023-193 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m755-gxxg-r5qh - CC BY 4.0

Schwachstellenhistorie: zope

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv

Einträge insgesamt: 17
Erste → letzte: 05.2021 11.2024
Ohne Fix: 4
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 8
Mittel 6
Niedrig 2

Veröffentlichungen pro Jahr

2021: 4
2022: 9
2023: 3
2024: 1
2025: 0
2026: 0

04.11.2024

Access control vulnerable to user data deletion by anonynmous users

Kritisch · 9.1 CVE-2024-51734 < 5.11.1 5.11.1
04.10.2023

Zope management interface vulnerable to stored cross site scripting via the title property dieser Eintrag

Niedrig · 3.1 CVE-2023-44389 >= 4.0.0, < 4.8.11, >= 5.0.0, < 5.8.6 4.8.11, 5.8.6
30.04.2022

ZCatalog plug-in for Zope allows anonymous users to bypass access restrictions

Hoch CVE-2002-0688 >= 2.4.0, < 2.6.0 2.6.0
30.04.2022

Zope does not properly verify the access for objects with proxy roles

Hoch CVE-2002-0170 >= 2.2.0, < 2.4.4, >= 2.5.0, < 2.5.1 2.4.4, 2.5.1
30.04.2022

Zope does not properly perform security registration for legacy names

Hoch CVE-2000-1211 >= 2.2.0, <= 2.2.4 keine Korrektur
30.04.2022

Zope does not properly restrict access to the getRoles method

Hoch CVE-2000-0725 < 2.2.1 2.2.1
30.04.2022

Zope DTML implementation Improper Authentication

Hoch CVE-2000-0062 >= 2.2.0, <= 2.2.4 keine Korrektur
02.08.2021

Zope is an open-source web application server. Zope versions prior to versions 4.6.3 and 5.3 have a remote code execution security issue. In order to be affected, one must use Python 3 for one's Zope

Hoch · 7.5 CVE-2021-32811 >= 4.0, < 4.6.3, >= 5.0, < 5.3 4.6.3, 5.3
08.06.2021

Zope is an open-source web application server. This advisory extends the previous advisory at https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 with additional cases of TA

Hoch · 8.8 CVE-2021-32674 >= 4.0, < 4.6.1, >= 5.0, < 5.2.1 4.6.1, 5.2.1
21.05.2021

Zope is an open-source web application server. In Zope versions prior to 4.6 and 5.2, users can access untrusted modules indirectly through Python modules that are available for direct use. By default

Hoch · 8.8 CVE-2021-32633 < 4.6, >= 5.0, < 5.2 4.6, 5.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden