CVE-2020-7941

Privilege escalation w Plone — nadpisywanie treści bez uprawnień zapisu

CVSS 9.8v3.1pub. 2020-01-23upd. 2024-11-21

Podatność w module plone.app.contenttypes w Plone 4.3–5.2.1 umożliwia nieautoryzowanym użytkownikom nadpisywanie zawartości serwisu za pomocą żądania HTTP PUT bez posiadania wymaganych uprawnień zapisu. Krytyczny poziom CVSS 9.8 wynika z możliwości zdalnego wykorzystania bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

A privilege escalation issue in plone.app.contenttypes in Plone 4.3 through 5.2.1 allows users to PUT (overwrite) some content without needing write permission.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej weryfikacji uprawnień przy obsłudze żądań HTTP PUT w module plone.app.contenttypes. Użytkownik, który nie posiada uprawnień do zapisu lub modyfikacji zasobów, może mimo to przesłać żądanie PUT i skutecznie nadpisać istniejącą zawartość w systemie. Mechanizm kontroli dostępu nie blokuje poprawnie tego typu operacji dla nieuprzywilejowanych użytkowników.

Skutki

Atakujący może bez wymaganych uprawnień modyfikować lub nadpisywać zawartość zarządzaną przez Plone, co prowadzi do naruszenia integralności danych oraz potencjalnie do dalszego przejęcia kontroli nad serwisem. Podatność sklasyfikowana jest jako privilege escalation (LPE), a wektor sieciowy bez wymagania uwierzytelnienia czyni ją szczególnie niebezpieczną.

Mitygacja

Należy zastosować oficjalny hotfix producenta dostępny pod adresem https://plone.org/security/hotfix/20200121 lub zaktualizować Plone do wersji wyższej niż 5.2.1 zgodnie z wytycznymi producenta

Kogo dotyczy

Plone w wersjach od 4.3 do 5.2.1 (włącznie) z zainstalowanym modułem plone.app.contenttypes

Uwagi

Producent opublikował dedykowany hotfix (20200121) jeszcze przed oficjalną datą publikacji CVE (2020-01-23), co sugeruje skoordynowane ujawnienie podatności. Informacje ujawnione na liście oss-security w dniach 2020-01-22 i 2020-01-24.