Średnia

Products.CMFPlone Open Redirect Vulnerability

Ujawniono: 03.01.2018
Aktualizacja: 11.10.2026 14:18

When you visit a page where you need to login, Plone 2.5-5.1rc1 sends you to the login form with a 'came_from' parameter set to the previous url. After you login, you get redirected to the page you tried to view before. An attacker might try to abuse this by letting you click on a specially crafted link. You would login, and get redirected to the site of the attacker, letting you think that you are still on the original Plone site. Or some javascript of the attacker could be executed. Most of these types of attacks are already blocked by Plone, using the isURLInPortal check to make sure we only redirect to a page on the same Plone site. But a few more ways of tricking Plone into accepting a malicious link were discovered, and fixed with this hotfix.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	plone	>= 2.5, < 4.3.16, >= 5, < 5.1.0	4.3.16, 5.1.0
Python (PyPI)	products-cmfplone	< 4.3.17, >= 5.0.0, < 5.0.10, >= 5.1a1, < 5.1.0	4.3.17, 5.0.10, 5.1.0

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-601
Platforma: Python (PyPI)
Paczka: plone, products-cmfplone
Ujawniono: 03.01.2018
Aktualizacja: 11.10.2026 14:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2018-70 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8g72-gq68-6gqh - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2963 - PyPA Advisory Database; CC BY 4.0

Historia podatności: products-cmfplone

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 7
Pierwsza → ostatnia: 06.2011 01.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 7

Ujawnienia w latach

2017: 1
2018: 2
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

wcześniej: 3

28.01.2022

Cross-site Scripting and Open Redirect in Products.CMFPlone

Średnia · 4.3 ghsa-8w54-22w9-3g8f < 5.0.0 5.0.0
03.01.2018

Products.CMFPlone Open Redirect Vulnerability ten wpis

Średnia · 6.1 CVE-2017-1000481 < 4.3.17, >= 5.0.0, < 5.0.10, >= 5.1a1, < 5.1.0 4.3.17, 5.0.10, 5.1.0
03.01.2018

Products.CMFPlone XSS in profile home_page property

Średnia · 5.4 CVE-2017-1000482 < 4.3.17, >= 5.0.0, < 5.0.10, >= 5.1a1, < 5.1.0 4.3.17, 5.0.10, 5.1.0
25.09.2017

Plone unauthorized member addition vulnerability

Średnia · 5.9 CVE-2015-7315 >= 3.3.0, < 4.3.7, >= 5.0a1, < 5.0rc2 4.3.7, 5.0rc2
02.05.2014

Products/CMFPlone/CatalogTool.py in Plone 3.3 through 4.3.2 allows remote administrators to bypass restrictions and obtain sensitive information via an unspecified search API.

Średnia · 4.9 CVE-2013-7061 >= 3.3, < 4.3.3 4.3.3
02.05.2014

Products/CMFPlone/FactoryTool.py in Plone 3.3 through 4.3.2 allows remote attackers to obtain the installation path via vectors related to a file object for unspecified documentation which is initiali

Średnia · 5.3 CVE-2013-7060 >= 3.3, < 4.3.3 4.3.3
06.06.2011

Cross-site scripting in Products.CMFPlone and Products.PasswordResetTool

Średnia · 6.1 CVE-2011-1948 < 4.0.7, >= 4.1a1, < 4.1rc3 4.0.7, 4.1rc3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację