CVE-2024-23054
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W obrazie Dockera Plone 5.2.13 (5221) wykryto problem polegający na tym, że pakiet wymieniony w ścieżce ++plone++static/components nie istnieje w publicznym indeksie pakietów npm. Może to umożliwić zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może wykorzystać brakujący pakiet npm do wstrzyknięcia złośliwego kodu, co prowadzi do przejęcia kontroli nad serwerem Plone i potencjalnego wycieku danych.
Rekomendacja
Należy zaktualizować obraz Dockera Plone do najnowszej wersji oraz sprawdzić, czy wszystkie zależności npm są dostępne i pochodzą z zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
An issue in Plone Docker Official Image 5.2.13 (5221) open-source software that could allow for remote code execution due to a package listed in ++plone++static/components not existing in the public package index (npm).