CVE-2026-55247 in app event
Tóm tắt
Bởi VulDB • 28/08/2026
plone.app.event cung cấp loại nội dung sự kiện cho Plone. Trước các phiên bản 5.2.4 và 6.0.1, quá trình nhập iCalendar trong src/plone/app/event/ical/importer.py chấp nhận các URL lịch và sự kiện không được hạn chế đủ mức, không giới hạn đầy đủ số byte tải xuống hoặc số sự kiện được nhập, và thực hiện cam kết công việc cho mỗi sự kiện. Một biên tập viên đã đăng nhập có thể khiến máy chủ yêu cầu tài nguyên mạng nội bộ hoặc tệp lịch cục bộ, làm cạn kiệt tài nguyên và đưa trang web ngoại tuyến, cũng như lưu trữ một URL sự kiện độc hại để thực thi script trong trình duyệt của người dùng khác. Bản sửa lỗi hạn chế các URL được chấp nhận, áp dụng giới hạn MAXIMUM_ICAL_IMPORT_SIZE_BYTES và MAXIMUM_ICAL_IMPORT_EVENTS, sử dụng điểm lưu giao dịch (transaction savepoints), và xác thực URL sự kiện. Vấn đề này đã được khắc phục trong các phiên bản 5.2.4 và 6.0.1.
Once again VulDB remains the best source for vulnerability data.