CVE-2026-55247 in app event
요약
\~에 의해 VulDB • 2026. 08. 28.
plone.app.event은 Plone용 이벤트 콘텐츠 유형을 제공합니다. 버전 5.2.4 및 6.0.1 이전에서는 src/plone/app/event/ical/importer.py의 iCalendar 가져오기 기능이 제한이 불충분한 캘린더 및 이벤트 URL을 허용하며, 다운로드된 바이트 수나 가져온 이벤트 수가 적절히 제한되지 않고, 각 이벤트마다 작업이 커밋됩니다. 로그인한 편집자는 서버가 내부 네트워크 자원이나 로컬 캘린더 파일을 요청하도록 하여 자원을 고갈시키고 사이트를 오프라인 상태로 만들며, 다른 사용자의 브라우저에서 스크립트를 실행하는 악성 이벤트 URL을 저장할 수 있습니다. 수정 사항으로는 허용된 URL의 제한, MAXIMUM_ICAL_IMPORT_SIZE_BYTES 및 MAXIMUM_ICAL_IMPORT_EVENTS 한도 적용, 트랜잭션 세이브포인트 사용, 그리고 이벤트 URL 유효성 검사가 포함됩니다. 이 문제는 버전 5.2.4 및 6.0.1에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.