Alerta de segurança do Plone 20261022

Uma vulnerabilidade de gravidade moderada no plone.app.content permite que visitantes anônimos listem os usuários e grupos do site. Atualize os sites Plone 6.0, 6.1 e 6.2 para as versões indicadas.

Em nome do Plone/Zope Security Team, foi anunciada a correção de uma vulnerabilidade de vazamento de informações no plone.app.content, de gravidade 5,3 (moderada).

Um usuário não autenticado consegue listar os usuários e grupos de um site Plone. O resultado traz o id e o nome completo de cada usuário.

São afetados os sites com a REST API do Plone habilitada que não têm ligadas as opções "Muitos usuários?" e "Muitos grupos?", nas configurações de usuários e grupos. Enquanto a atualização não é feita, ligar essas duas opções contorna o problema.

Há correções para as versões do Plone com suporte:

• Plone 6.0 e 6.1: plone.app.content 4.2.1;
• Plone 6.2: plone.app.content 5.0.1.

Também é preciso atualizar o pip e o certifi para as versões que tratam um incidente de segurança com certificados.

Quem usa o Plone 6.2 com Python 3.11 ou mais recente deve ainda atualizar o Pillow para a versão 13.0.0, que traz muitas correções de segurança. Nas versões anteriores do Plone isso pode funcionar, mas elas usam hoje o Pillow 11, e o salto de versão é grande: teste com mais cuidado antes.

Versões a usar

Atualize seus sites para estas versões (no formato de constraints do pip):

Plone 6.2

plone.app.content==5.0.1
pip==26.2.2
certifi==2026.10.19
Pillow==13.0.0; python_version > "3.10"
Pillow==12.3.0; python_version == "3.10"

Plone 6.0 e 6.1

plone.app.content==4.2.1
pip==26.2.2
certifi==2026.10.19

Já foi lançado o Plone 6.2.2.1, com todas essas correções. As imagens Docker do Plone 6.2.2.1 usam imagens de sistema operacional mais novas, com correções relacionadas, como um pacote ca-certificates atualizado.