There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Plone 4.x through 4.3.11 and 5.x through 5.0.6 allow remote attackers to bypass a sandbox protection
    mechanism and obtain sensitive information by leveraging the Python string format method. (CVE-2017-5524)

遠端主機上安裝的 Plone 版本早於 2.5.54.3.12或 5.0.x 早於 5.0.7。因此，該應用程式受到以下弱點影響：

  - Plone 中 Zope ZMI 搜尋功能中manage_findResult元件中的跨網站腳本 （XSS） 漏洞允許遠端攻擊者透過涉及雙引號的向量注入任意 Web 腳本或 HTML，如 obj_ids：tokens 參數所示。（CVE-2016-7147）

  - Plone 允許遠端攻擊者繞過沙箱保護機制，並利用 Python 字串格式方法獲取敏感資訊。（CVE-2017-5524）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。由於廠商 Hotfix （PloneHotfix20170117） 可以在不升級版本的情況下修復此問題，因此此外掛程式只會在 Paranoid 模式下執行時報告。

远程主机上安装的 Plone 版本低于 2.5.54.3.12或 5.0.x 低于 5.0.7。因此，该应用程序受到以下漏洞的影响：

  - Plone 的 Zope ZMI 中搜索功能的 manage_findResult 组件中的跨站脚本 （XSS） 漏洞允许远程攻击者通过涉及双引号的矢量注入任意 Web 脚本或 HTML，这一点已由 obj_ids：tokens 参数证实。（CVE-2016-7147）

  - Plone 允许远程攻击者绕过沙盒保护机制，通过利用 Python 字符串格式方法获取敏感信息。（CVE-2017-5524）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。由于供应商热修复 （PloneHotfix20170117） 可在不升级版本的情况下修复此问题，因此此插件仅在以 Paranoid 模式运行时才会报告。

リモートホストにインストールされている Plone のバージョンは、4.3.12 より前の 2.5.5、あるいは 5.0.7 より前の 5.0.x です。このため、以下の脆弱性の影響を受けます。

  - Plone の Zope ZMI における検索機能の manage_findResult コンポーネントにおけるクロスサイトスクリプティング(XSS)の脆弱性により、リモートの攻撃者が、二重引用符を含むベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。これは、obj_ids:tokens パラメーターで実証されています。(CVE-2016-7147)

  - Plone により、リモートの攻撃者は、Python 文字列フォーマットメソッドを利用して、サンドボックス保護メカニズムをバイパスし、機密情報を取得できます。(CVE-2017-5524)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。ベンダーのホットフィックス(PloneHotfix20170117)がバージョンをアップグレードすることなくこれを修正できるため、このプラグインは Paranoid モードで実行している場合にのみレポートします。

The version of Plone installed on the remote host is 2.5.5 prior to 4.3.12, or 5.0.x prior to 5.0.7. It is, therefore, affected by the following vulnerabilities:

  - Cross-site scripting (XSS) vulnerability in the manage_findResult component in the search feature in Zope     ZMI in Plone allows remote attackers to inject arbitrary web script or HTML via vectors involving double     quotes, as demonstrated by the obj_ids:tokens parameter. (CVE-2016-7147)

  - Plone allows remote attackers to bypass a sandbox protection mechanism and obtain sensitive information by     leveraging the Python string format method. (CVE-2017-5524)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number. Since a vendor hotfix (PloneHotfix20170117) may remediate this without a version upgrade, this plugin only reports when running in Paranoid mode.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
421893	SCA: security update for Plone (GHSA-p5wr-vp8g-q5p4)	Tenable Cloud Security	SCA Checks	2025/3/28	2026/7/2	medium
421893	SCA: security update for Plone (GHSA-p5wr-vp8g-q5p4)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/28	2026/7/2	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 多個漏洞（HF 20170117）	Nessus	Misc.	2026/7/22	2026/7/23	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 多种漏洞（HF 20170117）	Nessus	Misc.	2026/7/22	2026/7/23	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 複数の脆弱性(HF 20170117)	Nessus	Misc.	2026/7/22	2026/7/23	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 Multiple Vulnerabilities (HF 20170117)	Nessus	Misc.	2026/7/22	2026/7/23	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium