CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-28736
https://notcve.org/view.php?id=CVE-2020-28736
30 Dec 2020 — Plone before 5.2.3 allows XXE attacks via a feature that is protected by an unapplied permission of plone.schemaeditor.ManageSchemata (therefore, only available to the Manager role). Plone versiones anteriores a 5.2.3, permite ataques de tipo XXE por medio de una funcionalidad que está protegida por un permiso no aplicado de plone.schemaeditor.ManageSchemata (por lo tanto, solo está disponible para el rol de Administrador). • https://dist.plone.org/release/5.2.3/RELEASE-NOTES.txt • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-28735
https://notcve.org/view.php?id=CVE-2020-28735
30 Dec 2020 — Plone before 5.2.3 allows SSRF attacks via the tracebacks feature (only available to the Manager role). Plone versiones anteriores a 5.2.3, permite ataques de tipo SSRF por medio de la funcionalidad tracebacks (solo disponible para el rol de administrador). • https://dist.plone.org/release/5.2.3/RELEASE-NOTES.txt • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-28734
https://notcve.org/view.php?id=CVE-2020-28734
30 Dec 2020 — Plone before 5.2.3 allows XXE attacks via a feature that is explicitly only available to the Manager role. Plone versiones anteriores a 5.2.3, permite ataques de tipo XXE por medio de una funcionalidad que solo está disponible explícitamente para el rol de administrador. • https://dist.plone.org/release/5.2.3/RELEASE-NOTES.txt • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 10.0EPSS: 0%CPEs: 1EXPL: 0CVE-2020-35190
https://notcve.org/view.php?id=CVE-2020-35190
17 Dec 2020 — The official plone Docker images before version of 4.3.18-alpine (Alpine specific) contain a blank password for a root user. System using the plone docker container deployed by affected versions of the docker image may allow a remote attacker to achieve root access with a blank password. Las imágenes de Docker de official plone versiones anteriores a la versión 4.3.18-alpine (específica de Alpine) contienen una contraseña en blanco para un usuario root. El sistema que usa el contenedor de docker plone ... • https://github.com/koharin/koharin2/blob/main/CVE-2020-35190 • CWE-306: Missing Authentication for Critical Function •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7936
https://notcve.org/view.php?id=CVE-2020-7936
23 Jan 2020 — An open redirect on the login form (and possibly other places) in Plone 4.0 through 5.2.1 allows an attacker to craft a link to a Plone Site that, when followed, and possibly after login, will redirect to an attacker's site. Un redireccionamiento abierto en el formulario de inicio de sesión (y posiblemente en otros lugares) en Plone versiones 4.0 hasta 5.2.1, permite a un atacante diseñar un enlace hacia un Sitio de Plone que, cuando es seguido, y posiblemente después del inicio de sesión, redireccionará ha... • http://www.openwall.com/lists/oss-security/2020/01/24/1 • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7937
https://notcve.org/view.php?id=CVE-2020-7937
23 Jan 2020 — An XSS issue in the title field in Plone 5.0 through 5.2.1 allows users with a certain privilege level to insert JavaScript that will be executed when other users access the site. Un problema de tipo XSS en el campo title en Plone versiones 5.0 hasta 5.2.1, permite a usuarios con un determinado nivel de privilegio insertar JavaScript que será ejecutado cuando otros usuarios accedan al sitio. • http://www.openwall.com/lists/oss-security/2020/01/24/1 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7938
https://notcve.org/view.php?id=CVE-2020-7938
23 Jan 2020 — plone.restapi in Plone 5.2.0 through 5.2.1 allows users with a certain privilege level to escalate their privileges up to the highest level. plone.restapi en Plone versiones 5.2.0 hasta 5.2.1, permite a usuarios con un determinado nivel de privilegio escalar sus privilegios hasta el nivel más alto. • http://www.openwall.com/lists/oss-security/2020/01/24/1 •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7939
https://notcve.org/view.php?id=CVE-2020-7939
23 Jan 2020 — SQL Injection in DTML or in connection objects in Plone 4.0 through 5.2.1 allows users to perform unwanted SQL queries. (This is a problem in Zope.) Una inyección SQL en DTML o en objetos de conexión en Plone versiones 4.0 hasta 5.2.1, permite a usuarios llevar a cabo consultas SQL no deseadas. (Esto es un problema en Zope). • http://www.openwall.com/lists/oss-security/2020/01/24/1 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7940
https://notcve.org/view.php?id=CVE-2020-7940
23 Jan 2020 — Missing password strength checks on some forms in Plone 4.3 through 5.2.0 allow users to set weak passwords, leading to easier cracking. Una falta de comprobaciones de la fortaleza de la contraseña en algunos formularios en Plone versiones 4.3 hasta 5.2.0, permite a usuarios establecer contraseñas débiles, conllevando a facilitar el descifrado. • http://www.openwall.com/lists/oss-security/2020/01/24/1 • CWE-521: Weak Password Requirements •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7941
https://notcve.org/view.php?id=CVE-2020-7941
23 Jan 2020 — A privilege escalation issue in plone.app.contenttypes in Plone 4.3 through 5.2.1 allows users to PUT (overwrite) some content without needing write permission. Un problema de escalada de privilegios en plone.app.contenttypes en Plone versiones 4.3 hasta 5.2.1, permite a usuarios COLOCAR (sobrescribir) parte del contenido sin necesario un permiso de escritura. • http://www.openwall.com/lists/oss-security/2020/01/24/1 •