p PatchFirst

CVE-2026-55248

CVE-2026-55248 · plone.app.portlets: Denial of service via RSS feed portlet

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

plone.app.portlets provides portlets and a Plone-specific user interface for plone.portlets. Prior to 5.0.8, 6.0.4, and 7.0.2, a member who can add an RSS portlet can set its feed URL to a very large response, causing src/plone/app/portlets/portlets/rss.py to download and retain excessive data in memory and deny service. The same RSS URL handling accepts internal hosts, IP addresses, single-word domains, and explicit ports, allowing server-side requests that can probe internal network services and open ports. A malicious feed item can also supply a JavaScript URL that is retained as the item link and can execute script when used by a victim. The affected logic includes _rss_feed_url_validator, _normal_url_validator, RSSFeed._retrieveFeed, RSSFeed._buildItemDict, and the FEED_DATA in-memory cache. This issue is fixed in versions 5.0.8, 6.0.4, and 7.0.2.

CVSS 9.1 · Критический · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • plone.app.portlets

    Версии
    • < 5.0.8: Затронуто
    • >= 6.0.0, < 6.0.4: Затронуто
    • >= 7.0.0, < 7.0.2: Затронуто

    Нет опубликованного исправления

  • plone-app-portlets PyPI

    Версии
    • 7.0.0
    • 7.0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 7.0.0, < 7.0.2

    Обновитесь до 7.0.2

  • plone-app-portlets PyPI

    Версии
    • 6.0.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 6.0.0, < 6.0.4

    Обновитесь до 6.0.4

  • plone-app-portlets PyPI

    Версии
    • 1.0
    • 1.0.1
    • 1.0.1.1
    • 1.0.2
    • 1.0.3
    • 1.0.5
    • 1.0.6
    • 1.0a2
    • 1.0b1
    • 1.0b1.1
    • 1.0b2
    • 1.0b3
    • 1.0rc1
    • 1.0rc2
    • 1.1.0
    • 1.1.0a1
    • 1.1.2
    • 1.1.3
    • 1.1.5
    • 1.1.5.1
    • 1.1.6
    • 1.1rc1
    • 1.2
    • 1.2.1
    • 1.2b1
    • 1.2rc1
    • 1.2rc3
    • 2.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0a1
    • 2.0a2
    • 2.0a3
    • 2.0a4
    • 2.0b1
    • 2.0b10
    • 2.0b11
    • 2.0b2
    • 2.0b3
    • 2.0b4
    • 2.0b5
    • 2.0b6
    • 2.0b7
    • 2.0b8
    • 2.0b9
    • 2.1.0
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.2
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.3
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.3a1
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    • 2.4.6
    • 2.4.7
    • 2.4.8
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.5.4
    • 2.5.5
    • 2.5.6
    • 2.5.7
    • 2.5a1
    • 3.0
    • 3.0.1
    • 3.0.10
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.0.6
    • 3.0.7
    • 3.0.8
    • 3.0.9
    • 3.1
    • 3.1.1
    • 3.1.2
    • 3.1.3
    • 3.1.4
    • 3.1.5
    • 3.1.6
    • 4.0.0
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.2
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 4.3.0
    • 4.3.1
    • 4.3.2
    • 4.3.3
    • 4.3.4
    • 4.4.0
    • 4.4.1
    • 4.4.2
    • 4.4.3
    • 4.4.4
    • 4.4.5
    • 4.4.6
    • 4.4.7
    • 4.4.8
    • 4.4.9
    • 5.0.0
    • 5.0.0a1
    • 5.0.0a10
    • 5.0.0a2
    • 5.0.0a3
    • 5.0.0a4
    • 5.0.0a5
    • 5.0.0a6
    • 5.0.0a7
    • 5.0.0a8
    • 5.0.0a9
    • 5.0.0b1
    • 5.0.0b2
    • 5.0.1
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.0.7
    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.0.8

    Обновитесь до 5.0.8

  • plone-app-portlets PyPI

    Версии
    • 1.0
    • 1.0.1
    • 1.0.1.1
    • 1.0.2
    • 1.0.3
    • 1.0.5
    • 1.0.6
    • 1.0a2
    • 1.0b1
    • 1.0b1.1
    • 1.0b2
    • 1.0b3
    • 1.0rc1
    • 1.0rc2
    • 1.1.0
    • 1.1.0a1
    • 1.1.2
    • 1.1.3
    • 1.1.5
    • 1.1.5.1
    • 1.1.6
    • 1.1rc1
    • 1.2
    • 1.2.1
    • 1.2b1
    • 1.2rc1
    • 1.2rc3
    • 2.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0a1
    • 2.0a2
    • 2.0a3
    • 2.0a4
    • 2.0b1
    • 2.0b10
    • 2.0b11
    • 2.0b2
    • 2.0b3
    • 2.0b4
    • 2.0b5
    • 2.0b6
    • 2.0b7
    • 2.0b8
    • 2.0b9
    • 2.1.0
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.2
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.3
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.3a1
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    • 2.4.6
    • 2.4.7
    • 2.4.8
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.5.4
    • 2.5.5
    • 2.5.6
    • 2.5.7
    • 2.5a1
    • 3.0
    • 3.0.1
    • 3.0.10
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.0.6
    • 3.0.7
    • 3.0.8
    • 3.0.9
    • 3.1
    • 3.1.1
    • 3.1.2
    • 3.1.3
    • 3.1.4
    • 3.1.5
    • 3.1.6
    • 4.0.0
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 4.2
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 4.3.0
    • 4.3.1
    • 4.3.2
    • 4.3.3
    • 4.3.4
    • 4.4.0
    • 4.4.1
    • 4.4.2
    • 4.4.3
    • 4.4.4
    • 4.4.5
    • 4.4.6
    • 4.4.7
    • 4.4.8
    • 4.4.9
    • 5.0.0
    • 5.0.0a1
    • 5.0.0a10
    • 5.0.0a2
    • 5.0.0a3
    • 5.0.0a4
    • 5.0.0a5
    • 5.0.0a6
    • 5.0.0a7
    • 5.0.0a8
    • 5.0.0a9
    • 5.0.0b1
    • 5.0.0b2
    • 5.0.1
    • 5.0.2
    • 5.0.3
    • 5.0.4
    • 5.0.5
    • 5.0.6
    • 5.0.7
    • 6.0.0
    • 6.0.1
    • 6.0.2
    • 6.0.3
    • 7.0.0
    • 7.0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.0.8 ∪ ≥ 6.0.0, < 6.0.4 ∪ ≥ 7.0.0, < 7.0.2

    Обновитесь до 5.0.8; Обновитесь до 6.0.4; Обновитесь до 7.0.2

Первоисточники

Проверьте свой сервер →