CVE-2026-55247 in app event
Сводка
по VulDB • 28.08.2026
plone.app.event предоставляет тип содержимого для событий в Plone. До версий 5.2.4 и 6.0.1 импорт iCalendar, реализованный в src/plone/app/event/ical/importer.py, принимает недостаточно ограниченные URL-адреса календарей и событий, не обеспечивает адекватного ограничения количества загруженных байтов или импортированных событий и выполняет фиксацию транзакций для каждого события. Авторизованный редактор может заставить сервер запрашивать ресурсы внутренней сети или локальные файлы календаря, исчерпывать ресурсы системы и выводить сайт из строя, а также сохранять вредоносный URL-адрес события, который исполняет скрипт в браузере другого пользователя. Исправление ограничивает принимаемые URL-адреса, применяет лимиты MAXIMUM_ICAL_IMPORT_SIZE_BYTES (максимальное количество байт при импорте iCalendar) и MAXIMUM_ICAL_IMPORT_EVENTS (максимальное количество событий), использует точки сохранения транзакций (transaction savepoints) и проверяет корректность URL-адресов событий. Данная проблема исправлена в версиях 5.2.4 и 6.0.1.
Once again VulDB remains the best source for vulnerability data.