Zaloguj się
Deutsch English Español Polski
Wysoka

The isURLInPortal method in the URLTool class in in_portal.py in Plone 2.1 through 4.1, 4.2.x through 4.2.5, and 4.3.x through 4.3.1 treats URLs starting with a space as a relative URL, which allows r

  • Ujawniono: 21.01.2014
  • Aktualizacja: 11.10.2026 12:20

The isURLInPortal method in the URLTool class in in_portal.py in Plone 2.1 through 4.1, 4.2.x through 4.2.5, and 4.3.x through 4.3.1 treats URLs starting with a space as a relative URL, which allows remote attackers to bypass the allow_external_login_sites filtering property, redirect users to arbitrary web sites, and conduct phishing attacks via a space before a URL in the "next" parameter to acl_users/credentials_cookie_auth/require_login.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) plone >= 2.1, < 4.1.1, >= 4.2, < 4.2.6, >= 4.3, < 4.3.2 4.1.1, 4.2.6, 4.3.2

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-601
Platforma
Python (PyPI)
Paczka
plone
Ujawniono
21.01.2014
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-56p3-rrp4-2j82 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2014-64 - PyPA Advisory Database; CC BY 4.0

Historia podatności: plone

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (101) w archiwum
Wszystkich wpisów
101
Pierwsza → ostatnia
09.2006 03.2024
Bez poprawki
10
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 36
  • Średnia 58
  • Niska 2

Ujawnienia w latach

wcześniej: 52

Istotność:
  1. The isURLInPortal method in the URLTool class in in_portal.py in Plone 2.1 through 4.1, 4.2.x through 4.2.5, and 4.3.x through 4.3.1 treats URLs starting with a space as a relative URL, which allows r ten wpis
    Wysoka · 7.5 CVE-2013-4200 >= 2.1, < 4.1.1, >= 4.2, < 4.2.6, >= 4.3, < 4.3.2 4.1.1, 4.2.6, 4.3.2
  2. Cross-Frame Scripting vulnerability has been found on Plone CMS
    Wysoka · 7.1 CVE-2024-0669 < 6.0.7 6.0.7
  3. Server-Side Request Forgery in Plone CMS
    Wysoka · 8.8 CVE-2021-33926 >= 4.3, < 5.2.5 5.2.5
  4. Plone anonymous access to sub-objects in CMFEditions where KwAsAttributes classes were publishable
    Wysoka CVE-2011-4030 >= 4.0, < 4.0.10, >= 4.1, < 4.1.1, >= 4.2a1, < 4.2a3 4.0.10, 4.1.1, 4.2a3
  5. Plone Improper Session Management
    Wysoka CVE-2008-1393 < 3.0 3.0
  6. Plone CMS Improper Session Management
    Wysoka CVE-2008-1394 < 3.0 3.0
  7. Server-Side Request Forgery in Plone
    Wysoka · 7.5 CVE-2021-33511 <= 5.2.4 brak poprawki
  8. Incorrect Permission Assignment for Critical Resource in Plone
    Krytyczna · 9.9 CVE-2021-33509 < 5.2.5 5.2.5
  9. Improper Restriction of XML External Entity Reference in Plone
    Wysoka · 8.8 CVE-2020-28736 < 5.2.3 5.2.3
  10. SSRF attacks via tracebacks in Plone
    Wysoka · 8.8 CVE-2020-28735 < 5.2.3 5.2.3
  11. Improper Restriction of XML External Entity Reference in Plone
    Wysoka · 8.8 CVE-2020-28734 < 5.2.3 5.2.3
  12. Plone Privilege Escallation
    Wysoka · 8.8 CVE-2020-7938 >= 5.2.0, < 5.2.2 5.2.2
  13. Plone Unauthenticated Write Vulnerability
    Krytyczna · 9.8 CVE-2020-7941 >= 4.3, <= 5.2.1 brak poprawki
  14. SQL Injection in DTML or in connection objects in Plone 4.0 through 5.2.1 allows users to perform unwanted SQL queries. (This is a problem in Zope.)
    Wysoka · 8.8 CVE-2020-7939 >= 4.0, < 5.2.2 5.2.2
  15. Missing password strength checks on some forms in Plone 4.3 through 5.2.0 allow users to set weak passwords, leading to easier cracking.
    Wysoka · 7.5 CVE-2020-7940 >= 4.3, < 5.2.1 5.2.1
  16. Accessing private content via str.format in through-the-web templates and scripts in Plone 2.5-5.1rc1. This improves an earlier hotfix. Since the format method was introduced in Python 2.6, this part
    Wysoka · 6.5 CVE-2017-1000483 >= 2.5, < 4.3.16, >= 5, < 5.1.0 4.3.16, 5.1.0
  17. Multiple cross-site request forgery (CSRF) vulnerabilities in Zope Management Interface 4.3.7 and earlier, and Plone before 5.x.
    Wysoka · 8.8 CVE-2015-7293 < 5.0a1 5.0a1
  18. Plone 3.3.0 through 3.3.6 allows remote attackers to inject headers into HTTP responses.
    Wysoka · 7.5 CVE-2015-7318 >= 3.3, < 4.0a1 4.0a1
  19. Plone and Zope2 do not reseed pseudo-random number generator
    Wysoka · 7.5 CVE-2012-6661 >= 3.2.2, < 4.2.3, >= 4.3a1, < 4.3b1 4.2.3, 4.3b1
  20. at_download.py in Plone before 4.2.3 and 4.3 before beta 1 allows remote attackers to read arbitrary BLOBs (Files and Images) stored on custom content types via a crafted URL.
    Wysoka · 7.5 CVE-2012-5501 < 4.2.3, >= 4.3a0, < 4.3b1 4.2.3, 4.3b1
  21. python_scripts.py in Plone before 4.2.3 and 4.3 before beta 1 allows remote attackers to cause a denial of service (memory consumption) via a large value, related to formatColumns.
    Wysoka · 7.5 CVE-2012-5499 < 4.2.3, >= 4.3a0, < 4.3b1 4.2.3, 4.3b1
Pokaż więcej (20) Widać 21 z 41

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.