Kritisch

Access control vulnerable to user data deletion by anonynmous users

Veröffentlicht: 04.11.2024
Aktualisiert: 11.10.2026 14:18

Impact

Anonymous users can delete the user data maintained by an AccessControl.userfolder.UserFolder which may prevent any privileged access.

Patches

The problem is fixed in version 7.2.

Workarounds

The problem can be fixed by adding data__roles__ = () to AccessControl.userfolder.UserFolder.

References

https://github.com/zopefoundation/AccessControl/issues/159

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	accesscontrol	< 7.2	7.2
Python (PyPI)	zope	< 5.11.1	5.11.1

Verweise

CVSS-Wert 9.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Schwäche (CWE): CWE-269, CWE-284
Plattform: Python (PyPI)
Paket: accesscontrol, zope
Veröffentlicht: 04.11.2024
Aktualisiert: 11.10.2026 14:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2076 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-g5vw-3h65-2q3v - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2326 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: zope

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv

Einträge insgesamt: 17
Erste → letzte: 05.2021 11.2024
Ohne Fix: 4
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 8
Mittel 6
Niedrig 2

Veröffentlichungen pro Jahr

2021: 4
2022: 9
2023: 3
2024: 1
2025: 0
2026: 0

04.11.2024

Access control vulnerable to user data deletion by anonynmous users dieser Eintrag

Kritisch · 9.1 CVE-2024-51734 < 5.11.1 5.11.1
30.04.2022

ZCatalog plug-in for Zope allows anonymous users to bypass access restrictions

Hoch CVE-2002-0688 >= 2.4.0, < 2.6.0 2.6.0
30.04.2022

Zope does not properly verify the access for objects with proxy roles

Hoch CVE-2002-0170 >= 2.2.0, < 2.4.4, >= 2.5.0, < 2.5.1 2.4.4, 2.5.1
30.04.2022

Zope does not properly perform security registration for legacy names

Hoch CVE-2000-1211 >= 2.2.0, <= 2.2.4 keine Korrektur
30.04.2022

Zope does not properly restrict access to the getRoles method

Hoch CVE-2000-0725 < 2.2.1 2.2.1
30.04.2022

Zope DTML implementation Improper Authentication

Hoch CVE-2000-0062 >= 2.2.0, <= 2.2.4 keine Korrektur
02.08.2021

Zope is an open-source web application server. Zope versions prior to versions 4.6.3 and 5.3 have a remote code execution security issue. In order to be affected, one must use Python 3 for one's Zope

Hoch · 7.5 CVE-2021-32811 >= 4.0, < 4.6.3, >= 5.0, < 5.3 4.6.3, 5.3
08.06.2021

Zope is an open-source web application server. This advisory extends the previous advisory at https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 with additional cases of TA

Hoch · 8.8 CVE-2021-32674 >= 4.0, < 4.6.1, >= 5.0, < 5.2.1 4.6.1, 5.2.1
21.05.2021

Zope is an open-source web application server. In Zope versions prior to 4.6 and 5.2, users can access untrusted modules indirectly through Python modules that are available for direct use. By default

Hoch · 8.8 CVE-2021-32633 < 4.6, >= 5.0, < 5.2 4.6, 5.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden