There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - When you visit a page where you need to login, Plone 2.5-5.1rc1 sends you to the login form with a
    'came_from' parameter set to the previous url. After you login, you get redirected to the page you tried
    to view before. An attacker might try to abuse this by letting you click on a specially crafted link. You
    would login, and get redirected to the site of the attacker, letting you think that you are still on the
    original Plone site. Or some javascript of the attacker could be executed. Most of these types of attacks
    are already blocked by Plone, using the `isURLInPortal` check to make sure we only redirect to a page on
    the same Plone site. But a few more ways of tricking Plone into accepting a malicious link were
    discovered, and fixed with this hotfix. (CVE-2017-1000481)

远程主机上安装的 Plone 版本低于 2.5.5 ， 低于 5.0.x5.0.10。4.3.16 因此，该应用程序受到以下漏洞的影响：

  - 当您访问需要登录的页面时，会将您转到登录表单，并将“came_from”参数设置为之前的 URL。（CVE-2017-1000481）

  - Plone 站点的成员可在其配置文件的 home_page 属性中设置 javascript，并在访问者单击作者页面上的主页链接时执行此操作。（CVE-2017-1000482）

  - 通过 Plone 中的 through-the-web 模板和脚本中的 str.format 访问私密内容。
    (CVE-2017-1000483)

  - 通过使用参数链接到 Plone 中的特定 URL，攻击者可将您转到他自己的网站。
    (CVE-2017-1000484)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。由于供应商热修复 （PloneHotfix20171128） 可在不升级版本的情况下修复此问题，因此此插件仅在以 Paranoid 模式运行时才会报告。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当您访问需要登录的页面时，Plone 2.5-5.1rc1 会将您转到“came_from”参数设置为之前 url 的登录表单。登录后，您将被重定向至之前尝试查看的页面。攻击者可能会通过让您点击特别构建的链接来尝试滥用此权限。您可能会登录，但却被重定向到攻击者的站点，让您以为自己仍在原始 Plone 站点上。或者可执行攻击者的某些 javascript。Plone 已阻止其中大部分攻击类型，并使用“isURLInPortal”检查确保仅重定向至同一 Plone 站点上的页面。但是，发现了更多诱骗 Plone 接受恶意链接的方式，并通过此热修复进行了修复。 (CVE-2017-1000481)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 Plone 版本在 之前，在 之前5.0.x。2.5.54.3.165.0.10 因此，該應用程式受到以下弱點影響：

  - 當您造訪需要登入的頁面時，會將您導向登入表單，並將「came_from」參數設為先前的網址。（CVE-2017-1000481）

  - Plone 網站的成員可以在其設定檔的 home_page 屬性中設定 javascript，並在訪客按一下作者頁面上的首頁鏈結時執行此動作。（CVE-2017-1000482）

  - 在 Plone 中透過 Web 範本和指令碼中的 str.format 存取私有內容。
    (CVE-2017-1000483)

  - 透過使用參數連結到 Plone 中的特定 URL，攻擊者可以將您傳送到他自己的網站。
    (CVE-2017-1000484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。由於廠商 Hotfix （PloneHotfix20171128） 可以在不升級版本的情況下修復此問題，因此此外掛程式只會在 Paranoid 模式下執行時報告。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 當您造訪需要登入的頁面時，Plone 2.5-5.1rc1 會將您傳送至「came_from」參數設定為先前 URL 的登入表單。登入後，系統會將您重新導向至之前嘗試檢視的頁面。攻擊者可能會透過讓您按一下特製連結來嘗試濫用此弱點。您會登入，然後被重新導向至攻擊者的網站，讓您以為自己仍在原來的 Plone 網站上。或可能執行攻擊者的部分 javascript。這些類型的攻擊中的大多數已由 Plone 封鎖，並使用 `isURLInPortal` 檢查確保我們僅重新導向至相同 Plone 網站上的頁面。但已發現其他數個誘騙 Plone 接受惡意連結的方式，且已透過此 hotfix 修正。 (CVE-2017-1000481)

請注意，Nessus 依賴供應商報告的套件存在。

リモートホストにインストールされている Plone のバージョンは、4.3.16 より前の 2.5.5、5.0.x5.0.10 より前です。このため、以下の脆弱性の影響を受けます。

  - ログインが必要なページにアクセスすると、前の URL に設定された「came_from」パラメーターを使用してログインフォームに移動します。(CVE-2017-1000481)

  - Plone サイトのメンバーが、自身のプロファイルの home_page プロパティに javascript を設定し、訪問者が author ページのホームページのリンクをクリックしたときにこれが実行される可能性があります。(CVE-2017-1000482)

  - Plone の through-the-web テンプレートおよびスクリプトの中の str.format を介してプライベートコンテンツへのアクセス。
    (CVE-2017-1000483)

  - パラメーターを使用して Plone の特定の URL にリンクすることで、攻撃者があなたを自分の Web サイトに誘導する可能性があります。
    (CVE-2017-1000484)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。ベンダーのホットフィックス(PloneHotfix20171128)は、バージョンをアップグレードすることなくこれを修正できるため、このプラグインは、パラノイドモードで実行している場合にのみレポートします。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ログインする必要があるページにアクセスすると、Plone 2.5-5.1rc1 は、以前の URL に設定された「came_from」パラメーターを含むログインフォームを送信します。ログインすると、前に表示しようとしたページにリダイレクトされます。攻撃者がこれを悪用して、特別に細工されたリンクをクリックさせる可能性があります。ログインすると攻撃者のサイトにリダイレクトされ、元の Plone サイトにいるように見せかけます。または、攻撃者の一部の javascript が実行される可能性があります。この種の攻撃のほとんどは、「isURLInPortal」チェックを使用して同じ Plone サイトのページにのみリダイレクトするようにすることで、Plone によってすでにブロックされています。しかし、Plone を騙して悪意のあるリンクを受け入れさせる方法がさらにいくつか見つかりました。このホットフィックスで修正されました。 （CVE-2017-1000481）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of Plone installed on the remote host is 2.5.5 prior to 4.3.16, 5.0.x prior to 5.0.10. It is, therefore, affected by the following vulnerabilities:

  - When you visit a page where you need to login, sends you to the login form with a 'came_from' parameter     set to the previous url. (CVE-2017-1000481)

  - A member of the Plone site could set javascript in the home_page property of his profile, and have this     executed when a visitor click the home page link on the author page. (CVE-2017-1000482)

  - Accessing private content via str.format in through-the-web templates and scripts in Plone.
    (CVE-2017-1000483)

  - By linking to a specific url in Plone with a parameter, an attacker could send you to his own website.
    (CVE-2017-1000484)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number. Since a vendor hotfix (PloneHotfix20171128) may remediate this without a version upgrade, this plugin only reports when running in Paranoid mode.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When you visit a page where you need to login, Plone 2.5-5.1rc1 sends you to the login form with a     'came_from' parameter set to the previous url. After you login, you get redirected to the page you tried     to view before. An attacker might try to abuse this by letting you click on a specially crafted link. You     would login, and get redirected to the site of the attacker, letting you think that you are still on the     original Plone site. Or some javascript of the attacker could be executed. Most of these types of attacks     are already blocked by Plone, using the `isURLInPortal` check to make sure we only redirect to a page on     the same Plone site. But a few more ways of tricking Plone into accepting a malicious link were     discovered, and fixed with this hotfix. (CVE-2017-1000481)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
432813	SCA: security update for Plone, Products.CMFPlone (GHSA-8g72-gq68-6gqh)	Tenable Cloud Security	SCA Checks	2025/8/11	2026/7/2	medium
432813	SCA: security update for Plone, Products.CMFPlone (GHSA-8g72-gq68-6gqh)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/11	2026/7/2	medium
329003	Plone 2.5.5 < 4.3.16 / 5.0.x < 5.0.10 多种漏洞（HF 20171128）	Nessus	Misc.	2026/7/22	2026/7/23	medium
220119	Linux Distros 未修补的漏洞: CVE-2017-1000481	Nessus	Misc.	2025/3/4	2026/1/28	medium
329003	Plone 2.5.5 < 4.3.16 / 5.0.x < 5.0.10 多個漏洞（HF 20171128）	Nessus	Misc.	2026/7/22	2026/7/23	medium
220119	Linux Distros 未修補弱點：CVE-2017-1000481	Nessus	Misc.	2025/3/4	2026/1/28	medium
329003	Plone 2.5.5 < 4.3.16 / 5.0.x < 5.0.10 複数の脆弱性(HF 20171128)	Nessus	Misc.	2026/7/22	2026/7/23	medium
220119	Linux Distros のパッチ未適用の脆弱性: CVE-2017-1000481	Nessus	Misc.	2025/3/4	2026/1/28	medium
329003	Plone 2.5.5 < 4.3.16 / 5.0.x < 5.0.10 Multiple Vulnerabilities (HF 20171128)	Nessus	Misc.	2026/7/22	2026/7/23	medium
220119	Linux Distros Unpatched Vulnerability : CVE-2017-1000481	Nessus	Misc.	2025/3/4	2026/1/28	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium