CVE-2026-55247 in app event
الملخص
بحسب VulDB • 29/08/2026
توفر plone.app.event نوع محتوى الأحداث لـ Plone. قبل الإصدارات 5.2.4 و 6.0.1، كان استيراد iCalendar في src/plone/app/event/ical/importer.py يقبل روابط تقويم وأحداث مقيدة بشكل غير كافٍ، ولا يحدّ من عدد البايتات المُحمَّلة أو الأحداث المستوردة بشكل مناسب، ويقوم بتنفيذ العمليات لكل حدث على حدة. يمكن لمحرر مسجل الدخول أن يجعل الخادم يطلب موارد الشبكة الداخلية أو ملفات التقويم المحلية، ويستنفد الموارد ويعطل الموقع عن العمل، ويخزن رابطًا لحدث ضارّ ينفذ سكريبت في متصفح مستخدم آخر. يعالج الإصلاح هذه المشكلة من خلال تقييد الروابط المقبولة، وتطبيق حدود MAXIMUM_ICAL_IMPORT_SIZE_BYTES و MAXIMUM_ICAL_IMPORT_EVENTS، واستخدام نقاط حفظ المعاملات (transaction savepoints)، والتحقق من صحة روابط الأحداث. تم إصلاح هذه المشكلة في الإصدارات 5.2.4 و 6.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.