Alerta de segurança do Plone 20260831
Duas vulnerabilidades de gravidade moderada foram corrigidas no plone.restapi. Atualize os sites Plone 6.0, 6.1 e 6.2 para as versões indicadas.
Em nome do Plone/Zope Security Team, foram anunciadas correções para duas vulnerabilidades no plone.restapi:
- Invocação reflexiva de métodos sem autenticação pelo parâmetro metadata_fields do @search da REST API, gravidade 6,5 (moderada);
- Vazamento de informações por verificação de permissão incorreta, gravidade 5,3 (moderada).
Relacionada à segunda, há uma correção no plone.autoform. Ela não é exatamente uma correção de segurança, porque não há exploração conhecida: é um reforço contra possíveis erros de programação. A atualização é recomendada, mas opcional.
Versões a usar
Atualize seus sites para estas versões (no formato de constraints do pip):
Plone 6.2:
plone.autoform==3.0.1
plone.restapi==10.0.4
Plone 6.0 e 6.1:
plone.autoform==2.0.5
plone.restapi==9.15.7
Quem ainda usa o Plone 5.2 com Python 3.8 também pode atualizar para o plone.restapi 9.15.7.
Se você acha que algum problema não foi totalmente resolvido, escreva para security@plone.org. Se as novas versões causarem outros problemas, abra uma issue no rastreador do Products.CMFPlone, verificando antes se o problema já foi relatado.