遠端主機上安裝的 Plone 版本在 4.0.x4.3.20之前 或 5.0.x5.1.7之前 。5.2.x5.2.2 因此，該應用程式受到以下弱點影響：

  - 登錄表單（可能還有其他地方）上的開放重定向允許攻擊者製作指向 Plone 站點的鏈接，當該鏈接被跟踪時，可能在登錄後，將重定向到攻擊者的站點。
    (CVE-2020-7936)

  - plone.restapi 允許具有特定權限等級的使用者將其權限提升到最高等級。（CVE-2020-7938）

  - DTML 或連接物件中的 SQL 插入允許使用者執行不需要的 SQL 查詢。
    (CVE-2020-7939)

  - Plone 4.3 中某些表單缺少密碼強度檢查，允許用戶 5.2.0 設置弱密碼，從而更容易破解。（CVE-2020-7940）

  - plone.app.contenttypes 中的權限提升問題允許使用者在不需要寫入權限的情況下 PUT （覆寫） 某些內容 （CVE-2020-7941）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。由於廠商 Hotfix （PloneHotfix20200121） 可以在不升級版本的情況下修復此問題，因此此外掛程式只會在 Paranoid 模式下執行時報告。

远程主机上安装的 Plone 版本低于 4.0.x4.3.20、 5.0.x5.1.7低于 或 5.2.x 低于 5.2.2。因此，该应用程序受到以下漏洞的影响：

  - 登录表单（可能还有其他地方）上的开放重定向允许攻击者构建指向 Plone 站点的链接，当该链接被访问时并且可能在登录之后，将重定向到攻击者的站点。
    (CVE-2020-7936)

  - Plone.restapi 允许具有特定权限级别的用户将其权限升级到最高级别。（CVE-2020-7938）

  - DTML 中或连接对象中的 SQL 注入允许用户执行不需要的 SQL 查询。
    (CVE-2020-7939)

  - Plone 4.3 中的 5.2.0 某些表单缺少密码强度检查，允许用户设置弱密码，从而导致更容易破解。（CVE-2020-7940）

  - plone.app.contenttypes 中的权限升级问题允许用户在不需要写入权限 （CVE-2020-7941） 的情况下放置（覆盖）某些内容

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。由于供应商热修复 （PloneHotfix20200121） 可在不升级版本的情况下修复此问题，此插件仅在以 Paranoid 模式运行时才会报告。

リモートホストにインストールされている Plone のバージョンは、4.3.204.0.x より前、5.0.x より前の 5.1.7、または 5.2.x より前の 5.2.2 です。このため、以下の脆弱性の影響を受けます。

  - ログインフォーム(および他の場所)でのオープンリダイレクトにより、攻撃者が Plone サイトへのリンクを細工する可能性があります。このリンクをたどると、そしてログイン後に、攻撃者のサイトにリダイレクトされます。
    (CVE-2020-7936)

  - Plone.restapi により、特定の権限レベルを持つユーザーが、自分の権限を最高レベルまで昇格させることが可能です。(CVE-2020-7938)

  - DTML または接続オブジェクトの SQL インジェクションにより、ユーザーは SQL クエリを好ましくない実行に繋がることが可能です。
    (CVE-2020-7939)

  - 5.2.0 までの Plone 4.3 の一部のフォームにパスワード強度チェックがないため、ユーザーが脆弱なパスワードを設定し、簡単に解読できるようになります。(CVE-2020-7940)

  - plone.app.contenttypes の権限昇格の問題により、ユーザーは書き込み権限を必要とせずに、一部のコンテンツを PUT(上書き)できます(CVE-2020-7941)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。ベンダーのホットフィックス(PloneHotfix20200121)が、バージョンをアップグレードすることなくこれを修正できるため、このプラグインは、パラノイドモードで実行している場合にのみレポートします。

The version of Plone installed on the remote host is 4.0.x prior to 4.3.20, 5.0.x prior to 5.1.7, or 5.2.x prior to 5.2.2. It is, therefore, affected by the following vulnerabilities:

  - An open redirect on the login form (and possibly other places) allows an attacker to craft a link to a     Plone Site that, when followed, and possibly after login, will redirect to an attacker's site.
    (CVE-2020-7936)

  - plone.restapi allows users with a certain privilege level to escalate their privileges up to the highest     level. (CVE-2020-7938)

  - SQL Injection in DTML or in connection objects allows users to perform unwanted SQL queries.
    (CVE-2020-7939)

  - Missing password strength checks on some forms in Plone 4.3 through 5.2.0 allow users to set weak     passwords, leading to easier cracking. (CVE-2020-7940)

  - A privilege escalation issue in plone.app.contenttypes allows users to PUT (overwrite) some content     without needing write permission (CVE-2020-7941)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number. Since a vendor hotfix (PloneHotfix20200121) may remediate this without a version upgrade, this plugin only reports when running in Paranoid mode.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
329011	Plone 4.0.x < 4.3.20 / 5.0.x < 5.1.7 / 5.2.x < 5.2.2 多個漏洞（HF 20200121）	Nessus	Misc.	2026/7/22	2026/7/23	critical
329011	Plone 4.0.x < 4.3.20 / 5.0.x < 5.1.7 / 5.2.x < 5.2.2 多种漏洞（HF 20200121）	Nessus	Misc.	2026/7/22	2026/7/23	critical
329011	Plone 4.0.x < 4.3.20 / 5.0.x < 5.1.7 / 5.2.x < 5.2.2 複数の脆弱性(HF 20200121)	Nessus	Misc.	2026/7/22	2026/7/23	critical
329011	Plone 4.0.x < 4.3.20 / 5.0.x < 5.1.7 / 5.2.x < 5.2.2 Multiple Vulnerabilities (HF 20200121)	Nessus	Misc.	2026/7/22	2026/7/23	critical

检测

插件搜索

critical

critical

critical

critical