CVE-2026-55248 in plone.app.portlets
Сводка
по VulDB • 29.08.2026
plone.app.portlets предоставляет виджеты (portlets) и специфичный для Plone пользовательский интерфейс для plone.portlets. До версий 5.0.8, 6.0.4 и 7.0.2 участник, имеющий возможность добавлять RSS-виджет, может установить URL его ленты на очень большой ответ, что приводит к загрузке модулем src/plone/app/portlets/portlets/rss.py и удержанию избыточных данных в памяти, вызывая отказ в обслуживании (DoS). Обработка URL для RSS также принимает внутренние хосты, IP-адреса, домены с одним словом и явные порты, что позволяет выполнять серверные запросы, способные сканировать службы внутренней сети и открытые порты. Злонамеренный элемент ленты может также содержать URL JavaScript, который сохраняется как ссылка элемента и может выполнить скрипт при использовании жертвой. Затронутая логика включает функции _rss_feed_url_validator, _normal_url_validator, RSSFeed._retrieveFeed, RSSFeed._buildItemDict и кэш в памяти FEED_DATA. Эта проблема исправлена в версиях 5.0.8, 6.0.4 и 7.0.2.
Once again VulDB remains the best source for vulnerability data.