Matthew Wilkes

**Nome do software vulnerável e versões afetadas: Versões do Plone 3.3.x a 3.3.6 Versões do Plone 4.0.x a 4.0.9 Versões do Plone 4.1.x a 4.1.6 Versões do Plone 4.2.x a 4.2.7 Versões do Plone 4.3 a 4.3.2 Descrição: A vulnerabilidade permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio de entradas não especificadas no método (1) browser id manager ou (2) OFS.Image. Isso pode ser explorado para realizar ataques de cross-site scripting (XSS). Recomendações: Para as versões do Plone 3.3.x a 3.3.6, atualize para uma versão fora desse intervalo para mitigar o risco. Para as versões do Plone 4.0.x a 4.0.9, atualize para uma versão fora desse intervalo para mitigar o risco. Para as versões do Plone 4.1.x a 4.1.6, atualize para uma versão fora desse intervalo para mitigar o risco. Para as versões do Plone 4.2.x a 4.2.7, atualize para uma versão fora desse intervalo para mitigar o risco. Para as versões do Plone 4.3 a 4.3.2, atualize para uma versão fora desse intervalo para mitigar o risco. Como solução temporária, considere restringir o acesso ao browser id manager e ao método OFS.Image até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** django CMS versions 3.0.0 through 3.0.13 django CMS versions 3.1.0 through 3.1.0 **Description** A cross-site request forgery (CSRF) issue allows remote attackers to manipulate privileged users into performing unknown actions via unspecified vectors. **Recommendations** For django CMS versions 3.0.0 through 3.0.13, update to version 3.0.14 or later. For django CMS versions 3.1.0 through 3.1.0, update to version 3.1.1 or later.

**Name of the Vulnerable Software and Affected Versions** Plone versions 3.3 through 4.3.2 **Description** The issue allows remote attackers to obtain the installation path via vectors related to a file object for unspecified documentation which is initialized in class scope in the FactoryTool.py file. **Recommendations** For Plone versions 3.3 through 4.3.2, update to a version that contains a fix for this issue.

**Name of the Vulnerable Software and Affected Versions** Plone versions 2.1 through 4.1 **Description** A cross-site scripting (XSS) issue exists in the safe html filter in Products.PortalTransforms, allowing remote authenticated users to inject arbitrary web script or HTML via unspecified vectors. **Recommendations** For Plone versions 2.1 through 4.1, update to a version that includes a fix for this issue, as no specific workaround is provided for these versions.