There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - plone.rest allows users to use HTTP verbs such as GET, POST, PUT, DELETE, etc. in Plone. Starting in the
    2.x branch and prior to versions 2.0.1 and 3.0.1, when the `++api++` traverser is accidentally used
    multiple times in a url, handling it takes increasingly longer, making the server less responsive. Patches
    are available in `plone.rest` 2.0.1 and 3.0.1. Series 1.x is not affected. As a workaround, one may
    redirect `/++api++/++api++` to `/++api++` in one's frontend web server (nginx, Apache). (CVE-2023-42457)

遠端主機上安裝的 Plone 版本早5.2.x5.2.14於或6.0.x早於 6.0.7。因此，該應用程式受到以下弱點影響：

  - plone.named檔案具有 SVG 影像的儲存跨網站指令碼弱點。（CVE-2023-41048）

  - 當 plone.rest 中的 ++api++ 遍歷器在 URL 中意外多次使用時，處理它所需的時間越來越長，使伺服器的回應速度降低（拒絕服務）。（CVE-2023-42457）

  - Zope 有一個儲存的 SVG 影像跨網站指令碼漏洞;攻擊者必須先上傳惡意 SVG 影像，然後誘騙使用者點擊特製的連結。（CVE-2023-42458）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。由於廠商 Hotfix （PloneHotfix20230921） 可以在不升級版本的情況下修復此問題，因此此外掛程式只會在 Paranoid 模式下執行時報告。

远程主机上安装的 Plone 版本低于或6.0.x低于 5.2.x5.2.146.0.7。因此，该应用程序受到以下漏洞的影响：

  - plone.namedfile 存在一个针对 SVG 图像的存储跨站脚本漏洞。（CVE-2023-41048）

  - 当 plone.rest 中的 ++api++ 遍历器意外在一个 URL 中被多次使用时，处理它所需的时间会越来越长，从而使得服务器的响应速度降低（拒绝服务）。（CVE-2023-42457）

  - Zope 存在一个针对 SVG 图像的存储跨站脚本漏洞;攻击者必须首先上传恶意 SVG 图像，然后诱骗用户访问特别构建的链接。（CVE-2023-42458）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。由于供应商热修复 （PloneHotfix20230921） 可在不升级版本的情况下修复此问题，因此此插件仅在以 Paranoid 模式运行时才会报告。

检测到的 Plone python 程序包 plone 版本为低于版本 5.2.14 或低于 6.x ] 的 6.0.7。因而会受到以下漏洞的影响

  - 处理 SVG 图像时存在多种存储的跨站脚本漏洞。经过身份验证的远程攻击者可利用此漏洞，通过诱使用户点击特制 URL，在用户的浏览器会话中执行任意脚本代码。（CVE-2023-41048、CVE-2023-42458）

  - plone.rest 中存在一个拒绝服务 (DoS) 漏洞。未经身份验证的远程攻击者可利用此问题造成服务器停止响应。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

偵測到的 Plone python 套件 plone 版本比 5.2.14 舊或比 6.x 舊的 6.0.7。因此受到以下弱點影響

  - 處理 SVG 影像時存在多個已儲存跨網站指令碼弱點。經驗證的遠端攻擊者可利用此弱點，誘騙使用者按一下特別建構的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2023-41048、CVE-2023-42458)

  - plone.rest 中存在一個拒絕服務 (DoS) 弱點。未經驗證的遠端攻擊者可惡意利用此問題造成伺服器停止回應。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Plone python パッケージplone の検出されたバージョン 6.0.7は、 より前の または 5.2.14 より 6.x 前の です。したがって、次の脆弱性による影響を受けます。

  - SVG 画像を処理する際に、複数の保存されたクロスサイトスクリプティングの脆弱性が存在します。認証されているリモートの攻撃者がこれを悪用し、特別に細工された URL をクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。(CVE-2023-41048、CVE-2023-42458)

  - plone.restにサービス拒否DoSの脆弱性があります。認証されていないリモートの攻撃者がこの問題を悪用し、サーバーの応答を停止させる可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Plone のバージョンは、5.2.14 より前の 5.2.x、または 6.0.7 より前の 6.0.x です。このため、以下の脆弱性の影響を受けます。

  - plone.namedfile には、SVG 画像用の蓄積型クロスサイトスクリプティングの脆弱性があります。(CVE-2023-41048)

  - plone.rest の ++api++ トラバーサが URL で不意に複数回使用された場合、処理にかかる時間がだれてサーバーの応答が低下します(サービス拒否)。(CVE-2023-42457)

  - Zope には、SVG 画像用の蓄積型クロスサイトスクリプティングの脆弱性があります。攻撃者は、まず悪意のある SVG 画像をアップロードし、次にユーザーを騙して特別に細工されたリンクをたどらせる必要があります。(CVE-2023-42458)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。ベンダーのホットフィックス(PloneHotfix20230921)が、バージョンをアップグレードすることなくこれを修正できるため、このプラグインは、パラノイドモードで実行している場合にのみレポートします。

The version of Plone installed on the remote host is 5.2.x prior to 5.2.14 or 6.0.x prior to 6.0.7. It is, therefore, affected by the following vulnerabilities:

  - plone.namedfile has a stored cross-site scripting vulnerability for SVG images. (CVE-2023-41048)

  - When the ++api++ traverser in plone.rest is accidentally used multiple times in a url, handling it takes     increasingly longer, making the server less responsive (denial of service). (CVE-2023-42457)

  - Zope has a stored cross-site scripting vulnerability for SVG images; an attacker must first upload a     malicious SVG image and then trick a user into following a specially crafted link. (CVE-2023-42458)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number. Since a vendor hotfix (PloneHotfix20230921) may remediate this without a version upgrade, this plugin only reports when running in Paranoid mode.

The detected version of Plone python package, plone, is prior to version 5.2.14 or 6.x prior to 6.0.7. It is, therefore, affected by the following the vulnerabilities:

  - Multiple stored cross site scripting vulnerabilities exits when handling SVG images. An authenticated,     remote attacker can exploit this, by convincing a user to click a specially crafted URL, to execute     arbitrary script code in a user's browser session. (CVE-2023-41048, CVE-2023-42458)

  - A denial of service (DoS) vulnerability exists in plone.rest. An unauthenticated, remote attacker can     exploit this issue, to cause the server to stop responding.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
415539	SCA: security update for plone.rest (GHSA-h6rp-mprm-xgcq)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	high
415539	SCA: security update for plone.rest (GHSA-h6rp-mprm-xgcq)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	high
329028	Plone 5.2.x < 5.2.14 / 6.0.x < 6.0.7 多個漏洞（HF 20230921）	Nessus	Misc.	7/22/2026	7/23/2026	medium
329028	Plone 5.2.x < 5.2.14 / 6.0.x < 6.0.7 多种漏洞（HF 20230921）	Nessus	Misc.	7/22/2026	7/23/2026	medium
300605	Plone Python 库多个漏洞 (20230921)	Nessus	Misc.	3/4/2026	3/9/2026	medium
300605	Plone Python 程式庫多個弱點 (20230921)	Nessus	Misc.	3/4/2026	3/9/2026	medium
300605	Plone Python ライブラリの複数の脆弱性20230921	Nessus	Misc.	3/4/2026	3/9/2026	medium
329028	Plone 5.2.x < 5.2.14 / 6.0.x < 6.0.7 複数の脆弱性(HF 20230921)	Nessus	Misc.	7/22/2026	7/23/2026	medium
329028	Plone 5.2.x < 5.2.14 / 6.0.x < 6.0.7 Multiple Vulnerabilities (HF 20230921)	Nessus	Misc.	7/22/2026	7/23/2026	medium
300605	Plone Python Library Multiple Vulnerabilities (20230921)	Nessus	Misc.	3/4/2026	3/9/2026	medium

Detections

Analytics

Plugins Search

high

high

medium

medium

medium

medium

medium

medium

medium

medium