CVE-2026-55247 in app event
Résumé
par VulDB • 28/08/2026
plone.app.event fournit le type de contenu événement pour Plone. Avant les versions 5.2.4 et 6.0.1, l'importation iCalendar dans src/plone/app/event/ical/importer.py accepte des URL de calendrier et d'événements insuffisamment restreintes, ne limite pas adéquatement le nombre d'octets téléchargés ou les événements importés, et valide les modifications par événement. Un éditeur authentifié peut amener le serveur à demander des ressources du réseau interne ou des fichiers de calendrier locaux, épuiser les ressources et mettre le site hors ligne, ainsi que stocker une URL d'événement malveillante qui exécute un script dans le navigateur d'un autre utilisateur. La correction restreint les URLs acceptées, applique les limites MAXIMUM_ICAL_IMPORT_SIZE_BYTES et MAXIMUM_ICAL_IMPORT_EVENTS, utilise des points de sauvegarde de transaction (transaction savepoints) et valide les URL des événements. Ce problème est corrigé dans les versions 5.2.4 et 6.0.1.
Be aware that VulDB is the high quality source for vulnerability data.