nvd,anchore_overrides
Zope
Уязвимости
53
Эксплуатируемые
0
Критический
3
Высокий
22
Топ продуктов
Топ уязвимостей
CVE-2000-0062Реализация DTML в Z Object Publishing Environment (Zope) позволяет удаленным злоумышленникам осуществлять несанкционированные действия.
CVE-2023-37271RestrictedPython — это инструмент, который помогает определить подмножество языка Python, которое позволяет пользователям предоставлять программные входные данные в доверенную среду. RestrictedPython не проверяет доступ к стековым кадрам и их атрибутам. Стековые кадры доступны, по крайней мере, в генераторах и выражениях генераторов, которые разрешены внутри RestrictedPython. До версий 6.1 и 5.3 злоумышленник, имеющий доступ к среде RestrictedPython, может написать код, который получает текущий стековый кадр в генераторе, а затем проходит по стеку до границы вызова RestrictedPython, таким образом вырываясь из ограниченной песочницы и потенциально позволяя выполнять произвольный код в интерпретаторе Python. Все развертывания RestrictedPython, которые позволяют ненадежным пользователям писать код Python в среде RestrictedPython, находятся в зоне риска. С точки зрения Zope и Plone это означает развертывания, где администратор позволяет ненадежным пользователям создавать и/или редактировать объекты типа `Script (Python)`, `DTML Method`, `DTML Document` или `Zope Page Template`. Это конфигурация, отличная от конфигурации по умолчанию, и, вероятно, крайне редкая. Проблема была исправлена в версиях 6.1 и 5.3.
CVE-2024-24811SQLAlchemyDA — это универсальный адаптер базы данных для методов ZSQL. Уязвимость, обнаруженная в версиях до 2.2, позволяет не прошедшему проверку подлинности выполнению произвольных операторов SQL в базе данных, к которой подключен экземпляр SQLAlchemyDA. Это затрагивает всех пользователей. Проблема исправлена в версии 2.2. Обходного пути для решения этой проблемы не существует.
CVE-2021-32674Zope — это сервер веб-приложений с открытым исходным кодом. Эта рекомендация расширяет предыдущую рекомендацию по адресу https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36 дополнительными случаями уязвимостей обхода выражений TAL. Большинство модулей Python недоступны для использования в выражениях TAL, которые можно добавлять через веб-интерфейс, например, в шаблонах страниц Zope. Это ограничение позволяет избежать доступа к файловой системе, например, через модуль 'os'. Но некоторые из ненадежных модулей доступны косвенно через модули Python, которые доступны для непосредственного использования. По умолчанию вам необходимо иметь роль менеджера, чтобы добавлять или редактировать шаблоны страниц Zope через веб-интерфейс. Риску подвержены только сайты, которые позволяют ненадежным пользователям добавлять/редактировать шаблоны страниц Zope через веб-интерфейс. Проблема была исправлена в Zope 5.2.1 и 4.6.1. Обходной путь такой же, как и для https://github.com/zopefoundation/Zope/security/advisories/GHSA-5pr9-v234-jw36: Администратор сайта может ограничить добавление/редактирование шаблонов страниц Zope через веб-интерфейс, используя стандартные механизмы разрешений пользователей/ролей Zope. Ненадежным пользователям не следует назначать роль менеджера Zope, а добавление/редактирование шаблонов страниц Zope через веб-интерфейс следует ограничивать только доверенными пользователями.
CVE-2021-32633Zope - это сервер веб-приложений с открытым исходным кодом. В версиях Zope до 4.6 и 5.2 пользователи могут получить доступ к ненадежным модулям косвенно через модули Python, которые доступны для непосредственного использования. По умолчанию только пользователи с ролью Manager могут добавлять или редактировать шаблоны страниц Zope через Интернет, но сайты, которые позволяют ненадежным пользователям добавлять/редактировать шаблоны страниц Zope через Интернет, подвержены риску этой уязвимости. Проблема была устранена в Zope 5.2 и 4.6. В качестве обходного пути администратор сайта может ограничить добавление/редактирование шаблонов страниц Zope через Интернет, используя стандартные механизмы разрешений пользователей/ролей Zope. Ненадежным пользователям не следует назначать роль Zope Manager, а добавление/редактирование шаблонов страниц Zope через Интернет следует ограничить только для доверенных пользователей.
CVE-2015-7293Множественные уязвимости межсайтовой подделки запросов (CSRF) в Zope Management Interface 4.3.7 и более ранних версий, и Plone до 5.x.
CVE-2024-51734Zope AccessControl предоставляет общую структуру безопасности для использования в Zope. В затронутых версиях анонимные пользователи могут удалять пользовательские данные, хранящиеся в `AccessControl.userfolder.UserFolder`, что может предотвратить любой привилегированный доступ. Эта проблема была исправлена в версии 7.2. Пользователям рекомендуется обновиться. Пользователи, не имеющие возможности обновиться, могут решить проблему, добавив `data__roles__ = ()` в `AccessControl.userfolder.UserFolder`.
CVE-2024-47532RestrictedPython - это среда ограниченного выполнения для Python, предназначенная для запуска ненадежного кода. Пользователь может получить доступ к защищенной (и потенциально конфиденциальной) информации косвенно через AttributeError.obj и модуль string. Проблема будет решена в версии 7.3. В качестве обходного пути, если приложению не требуется доступ к модулю string, его можно удалить из RestrictedPython.Utilities.utility_builtins или иным образом не предоставлять его в среде ограниченного выполнения.
CVE-2025-22153RestrictedPython — это инструмент, который помогает определить подмножество языка Python, которое позволяет предоставлять программе ввод в доверенной среде. Из-за ошибки путаницы типов в версиях интерпретатора CPython, начиная с 3.11 и до 3.13.2, при использовании `try/except*`, RestrictedPython, начиная с версии 6.0 и до версии 8.0, можно было обойти. Проблема исправлена в версии 8.0 RestrictedPython путем удаления поддержки предложений `try/except*`. Обходные пути отсутствуют.
CVE-2021-36089Grok 7.6.6 - 9.2.0 имеет переполнение буфера на основе кучи в grk::FileFormatDecompress::apply_palette_clr (вызывается из grk::FileFormatDecompress::applyColour).
CVE-2023-41050AccessControl предоставляет общую структуру безопасности для использования в Zope. Функция Python "format" позволяет тому, кто контролирует строку формата, "читать" объекты, доступные (рекурсивно) через доступ к атрибутам и подписку из доступных объектов. Эти доступы к атрибутам и подписки используют полнофункциональные `getattr` и `getitem` Python, а не варианты `_getattr_` и `_getitem_`, ограниченные политикой `AccessControl`. Это может привести к раскрытию критической информации. `AccessControl` уже предоставляет безопасный вариант для `str.format` и запрещает доступ к `string.Formatter`. Однако `str.format_map` по-прежнему небезопасен. Затронуты все пользователи, которые позволяют ненадежным пользователям создавать управляемый `AccessControl` код Python и выполнять его. Исправление было внесено в версии 4.4, 5.8 и 6.2. Пользователям рекомендуется обновиться. Обходные пути для этой уязвимости отсутствуют.
CVE-2023-41039RestrictedPython - это среда ограниченного выполнения для Python для запуска ненадежного кода. Функция Python "format" позволяет тому, кто контролирует строку формата, "читать" все объекты, доступные посредством рекурсивного поиска атрибутов и подписки из объектов, к которым он может получить доступ. Это может привести к раскрытию критической информации. В `RestrictedPython` функция форматирования доступна через методы `format` и `format_map` `str` (и `unicode`) (доступные либо через класс, либо через его экземпляры) и через `string.Formatter`. Все известные версии `RestrictedPython` уязвимы. Эта проблема была решена в коммите `4134aedcff1`, который был включен в выпуски 5.4 и 6.2. Пользователям рекомендуется обновиться. Обходные пути для этой уязвимости отсутствуют.
CVE-2023-36814Products.CMFCore — это ключевые службы фреймворка для Zope Content Management Framework (CMF). Использование модуля marshal Python для обработки непроверенных входных данных в общедоступном методе объектов `PortalFolder` может привести к не прошедшему проверку подлинности отказу в обслуживании и аварийной ситуации. Код, о котором идет речь, предоставляется всем программным обеспечением портала, построенным на основе `Products.CMFCore`, таким как Plone. Все развертывания уязвимы. Код был исправлен в версии `Products.CMFCore` 3.2.
CVE-2011-2528Неуказанная уязвимость в (1) Zope 2.12.x до 2.12.19 и 2.13.x до 2.13.8, используемом в Plone 4.x и других продуктах, и (2) PloneHotfix20110720 для Plone 3.x позволяет злоумышленникам получить привилегии через неуказанные векторы, связанные с "очень серьезной уязвимостью". ПРИМЕЧАНИЕ: эта уязвимость существует из-за неправильного исправления CVE-2011-0720.
CVE-2005-3323docutils в Zope 2.6, 2.7 до 2.7.8 и 2.8 до 2.8.2 позволяет удаленным злоумышленникам включать произвольные файлы через директивы include в функциональности RestructuredText.
CVE-2002-0688Возможность поддержки индексов подключаемого модуля ZCatalog для Zope 2.4.0 через 2.5.1 позволяет анонимным пользователям и ненадежному коду обходить ограничения доступа и вызывать произвольные методы индексов каталога.
CVE-2002-0170Zope 2.2.0 through 2.5.1 неправильно проверяет доступ к объектам с ролями прокси, что может позволить некоторым пользователям получать доступ к документам в нарушение предполагаемой конфигурации.
CVE-2001-1278Zope до версии 2.2.4 позволяет частично доверенным пользователям обходить средства контроля безопасности для определенных методов, получая доступ к методам через атрибут fmt тегов dtml-var.
CVE-2001-1227Zope до версии 2.2.4 позволяет частично доверенным пользователям обходить средства контроля безопасности для определенных методов, получая доступ к методам через атрибут fmt тегов dtml-var.
CVE-2000-1211Zope 2.2.0 до 2.2.4 неправильно выполняет регистрацию безопасности для устаревших имен конструкторов объектов, таких как объекты методов DTML, что может позволить злоумышленникам выполнять несанкционированные действия.
CVE-2000-0483Пакет DocumentTemplate в Zope 2.2 и более ранних версиях позволяет удаленному злоумышленнику изменять DTMLDocuments или DTMLMethods без авторизации.
CVE-2021-32811Zope - это веб-сервер приложений с открытым исходным кодом. Версии Zope до версий 4.6.3 и 5.3 имеют проблему безопасности, связанную с удаленным выполнением кода. Чтобы пострадать, необходимо использовать Python 3 для развертывания Zope, запустить Zope 4 ниже версии 4.6.3 или Zope 5 ниже версии 5.3 и установить дополнительный пакет `Products.PythonScripts`. По умолчанию необходимо иметь роль Zope "Manager" уровня администратора, чтобы добавлять или редактировать объекты Script (Python) через Интернет. Риску подвержены только сайты, которые позволяют ненадежным пользователям добавлять/редактировать эти скрипты через Интернет. Zope выпусков 4.6.3 и 5.3 не уязвимы. В качестве обходного пути администратор сайта может ограничить добавление/редактирование объектов Script (Python) через Интернет, используя стандартные механизмы разрешений пользователя/роли Zope. Ненадежным пользователям не следует назначать роль Zope Manager, а добавление/редактирование этих скриптов через Интернет следует ограничивать только доверенными пользователями. Это конфигурация по умолчанию в Zope.
CVE-2021-32807Модуль `AccessControl` определяет политики безопасности для кода Python, используемого в ограниченном коде в приложениях Zope. Ограниченный код - это любой код, который находится в объектной базе данных Zope, такой как содержимое объектов `Script (Python)`. Политики, определенные в `AccessControl`, серьезно ограничивают доступ к модулям Python и освобождают только несколько, которые считаются безопасными, такие как модуль Python `string`. Однако полный доступ к модулю `string` также позволяет получить доступ к классу `Formatter`, который можно переопределить и расширить в `Script (Python)` таким образом, чтобы обеспечить доступ к другим небезопасным библиотекам Python. Эти небезопасные библиотеки Python можно использовать для удаленного выполнения кода. По умолчанию вам необходимо иметь роль Zope "Manager" уровня администратора, чтобы добавлять или редактировать объекты `Script (Python)` через Интернет. Риску подвержены только сайты, которые позволяют ненадежным пользователям добавлять/редактировать эти скрипты через Интернет, что было бы очень необычной конфигурацией. Проблема была исправлена в AccessControl 4.3 и 5.2. Уязвимы только версии AccessControl 4 и 5 и только в Python 3, а не в Python 2.7. В качестве обходного пути администратор сайта может ограничить добавление/редактирование объектов `Script (Python)` через Интернет, используя стандартные механизмы разрешений пользователя/роли Zope. Ненадежным пользователям не следует назначать роль Zope Manager, а добавление/редактирование этих скриптов через Интернет следует ограничивать только доверенными пользователями. Это конфигурация по умолчанию в Zope.
CVE-2001-0128Zope до версии 2.2.4 неправильно вычисляет локальные роли, что может позволить пользователям обходить указанные ограничения доступа и получать привилегии.
CVE-2000-0725Zope до версии 2.2.1 неправильно ограничивает доступ к методу getRoles, что позволяет пользователям, которые могут редактировать DTML, добавлять или изменять роли, изменяя список ролей, включенный в запрос.