PT-2020-19861 · Zope · Plone

Damiano Esposito · Publicado 2020-01-23 · Atualizado 2022-05-24 · CVE-2020-7939

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Plone 4.0 a 5.2.1

Descrição

A vulnerabilidade permite que usuários executem consultas SQL indesejadas devido a injeção de SQL no DTML ou em objetos de conexão. Este problema está relacionado ao Zope.

Recomendações

Para as versões do Plone 4.0 a 5.2.1, atualize para uma versão que contenha uma correção para esta vulnerabilidade, a fim de evitar consultas SQL indesejadas.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-7939

GHSA-HHMF-7RGG-GCW5

PYSEC-2020-88

Produtos afetados

Plone

Referências · 10

• https://github.com/pypa/advisory-database/tree/main/vulns/plone/PYSEC-2020-88.yaml · Nota
• https://github.com/plone/Plone · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7939 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/01/24/1 · Nota
• https://plone.org/security/hotfix/20200121/sql-injection-in-dtml-or-in-connection-objects · Aviso do Fabricante
• https://plone.org/security/hotfix/20200121 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hhmf-7rgg-gcw5 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-7939 · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2020/01/22/1 · Nota
• https://osv.dev/vulnerability/PYSEC-2020-88 · Aviso do Fabricante