The WYSIWYG component (wysiwyg.py) in Plone 2.1 through 4.1, 4.2.x through 4.2.5, and 4.3.x through 4.3.1 allows remote attackers to obtain

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• plone plone2.1
• plone plone2.1.1
• plone plone2.1.2
• plone plone2.1.3
• plone plone2.1.4
• plone plone2.5
• plone plone2.5.1
• plone plone2.5.2
• plone plone2.5.3
• plone plone2.5.4
• plone plone2.5.5
• plone plone3.0
• plone plone3.0.1
• plone plone3.0.2
• plone plone3.0.3
• plone plone3.0.4
• plone plone3.0.5
• plone plone3.0.6
• plone plone3.1
• plone plone3.1.1

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2011-3587Unspecified vulnerability in Zope 2.12.x and 2.13.x, as used in Plone 4.0.x through 4.0.9, 4.1, and 4.2 through 4.2a2, allows remote attacke
  60На этой неделе
• CVE-2021-33509Plone through 5.2.4 allows remote authenticated managers to perform disk I/O via crafted keyword arguments to the ReStructuredText transform
  40В плане
• CVE-2020-35190The official plone Docker images before version of 4.3.18-alpine (Alpine specific) contain a blank password for a root user.
  40В плане
• CVE-2020-7941A privilege escalation issue in plone.app.contenttypes in Plone 4.3 through 5.2.1 allows users to PUT (overwrite) some content without needi
  40В плане
• CVE-2015-7293Multiple cross-site request forgery (CSRF) vulnerabilities in Zope Management Interface 4.3.7 and earlier, and Plone before 5.x.
  36Наблюдать
• CVE-2021-33926An issue in Plone CMS v.
  35Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.