CVE-2026-55247 in app event
Riassunto
di VulDB • 29/08/2026
plone.app.event fornisce il tipo di contenuto per gli eventi su Plone. Prima delle versioni 5.2.4 e 6.0.1, l'importazione iCalendar in src/plone/app/event/ical/importer.py accetta URL di calendari ed eventi insufficientemente vincolati, non limita adeguatamente i byte scaricati o gli eventi importati e commette le operazioni per ogni evento. Un editor autenticato può indurre il server a richiedere risorse della rete interna o file di calendario locali, esaurire le risorse e mettere offline il sito, nonché memorizzare un URL di evento dannoso che esegue script nel browser di un altro utente. La correzione restringe gli URL accettati, applica i limiti MAXIMUM_ICAL_IMPORT_SIZE_BYTES e MAXIMUM_ICAL_IMPORT_EVENTS, utilizza savepoint delle transazioni e convalida gli URL degli eventi. Questo problema è risolto nelle versioni 5.2.4 e 6.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.