🕵️ Plone bis 4.3.11/5.0.6 Zope ZMI Search obj_ids:tokens Cross Site Scripting

🕛 Zeit seit Veröffentlichung: 2912 Tage, 2 Stunden 51 Minuten
📆 Veröffentlicht am: 04.02.2017 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In Plone bis 4.3.11/5.0.6 wurde eine Schwachstelle gefunden. Sie wurde als problematisch eingestuft. Betroffen ist eine unbekannte Funktion der Komponente Zope ZMI Search. Dank der Manipulation des Arguments obj_ids:tokens mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Die Auswirkungen sind bekannt für die Integrität.

Die Schwachstelle wurde am 04.02.2017 öffentlich gemacht. Die Verwundbarkeit wird als CVE-2016-7147 geführt. Der Angriff kann über das Netzwerk angegangen werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Ein Aktualisieren auf die Version 4.3.12 oder 5.0.7 vermag dieses Problem zu lösen.

CVSSv3

Base Score: 3.5
Temp Score: 3.4
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:X/RL:O/RC:X
Zuverlässigkeit: Medium

CVSSv2

Base Score: 3.5 (CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:N)
Temp Score: 3.0 (CVSS2#E:ND/RL:OF/RC:ND)
Zuverlässigkeit: Medium

CPE

• cpe:/a:plone:plone:4.3.11
• cpe:/a:plone:plone:5.0.6

Exploiting

Klasse: Cross Site Scripting
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Plone 4.3.12/5.0.7

Timeline

04.02.2017 Advisory veröffentlicht
04.02.2017 VulDB Eintrag erstellt
04.02.2017 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-7147 (mitre.org) (nvd.nist.org) (cvedetails.com)

Eintrag

Erstellt: 04.02.2017
Eintrag: 69.6% komplett
...