Alerta de segurança do Plone 20260623
O Plone/Zope Security Team publicou correções para várias vulnerabilidades, três delas críticas, incluindo execução remota de código e negação de serviço. Atualize os pacotes indicados.
Em nome do Plone/Zope Security Team, foram anunciadas correções para várias vulnerabilidades:
- Execução remota de código via injeção de TALES, gravidade 9,9 (crítica);
- Negação de serviço via importação de iCalendar, gravidade 9,1 (crítica);
- Negação de serviço via portlet de feed RSS, gravidade 9,1 (crítica);
- negação de serviço por título, descrição ou nome de arquivo longos demais, gravidade 6,5 (moderada), com correções no plone.app.dexterity e no plone.app.contenttypes.
Duas outras já tinham sido divulgadas e entram na lista por precaução: icalendar e RestrictedPython.
Algumas só afetam a Classic UI (o Volto não tem portlets, por exemplo), mas outras afetam o Volto também.
Versões a usar
Atualize seus sites para estas versões (no formato de constraints do pip):
Plone 6.2:
icalendar==7.1.3
plone.app.contenttypes==5.0.1
plone.app.dexterity==5.0.1
plone.app.event==6.0.1
plone.app.portlets==7.0.2
RestrictedPython==8.3
Plone 6.1:
plone.app.contenttypes==4.0.10
plone.app.dexterity==4.1.3
plone.app.event==5.2.4
plone.app.portlets==6.0.4
RestrictedPython==8.3
Plone 6.0:
plone.app.contenttypes==3.0.12
plone.app.dexterity==3.2.3
plone.app.event==5.2.4
plone.app.portlets==5.0.8
RestrictedPython==8.3; python_version > '3.10'
Confira também se as correções do plone.app.textfield e do plone.restapi do alerta de 5 de junho já foram aplicadas.
Se você acha que algum problema não foi totalmente resolvido, escreva para security@plone.org. Se as novas versões causarem outros problemas, comente no anúncio do fórum da comunidade ou abra uma issue no rastreador do Products.CMFPlone, verificando antes se o problema já foi relatado.