CVE-2026-55247 in app event
Zusammenfassung
von VulDB • 28.08.2026
plone.app.event stellt den Event-Inhaltstyp für Plone bereit. Vor den Versionen 5.2.4 und 6.0.1 akzeptiert der iCalendar-Import in src/plone/app/event/ical/importer.py unzureichend eingeschränkte Kalender- und Event-URLs, beschränkt heruntergeladene Bytes oder importierte Events nicht angemessen und führt Arbeitsschritte pro Event durch. Ein authentifizierter Redakteur kann den Server dazu bringen, Ressourcen des internen Netzwerks oder lokale Kalendersysteme anzufordern, Ressourcen zu erschöpfen und die Site offline zu nehmen sowie eine bösartige Event-URL zu speichern, die Skripte im Browser eines anderen Benutzers ausführt. Die Korrektur schränkt akzeptierte URLs ein, wendet MAXIMUM_ICAL_IMPORT_SIZE_BYTES und MAXIMUM_ICAL_IMPORT_EVENTS-Limits an, verwendet Transaktionsspeicherpunkte (savepoints) und validiert Event-URLs. Dieses Problem ist in den Versionen 5.2.4 und 6.0.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.