Misakikata

A vulnerabilidade permite que administradores autenticados remotamente realizem ataques de falsificação de solicitação do lado do servidor (SSRF) por meio de uma URL de evento ical. Isso lhes permite ler uma linha de um arquivo.

A vulnerabilidade permite a falsificação de solicitações do lado do servidor (SSRF) por meio do analisador lxml. Isso afeta vários componentes, incluindo temas Diazo, esquemas TTW do Dexterity e modeladores em plone.app.theming, plone.app.dexterity e plone.supermodel.

A vulnerabilidade permite ataques XXE por meio de um recurso explicitamente disponível para a função de Gerente.

A vulnerabilidade permite ataques SSRF por meio do recurso de rastreamento de erros, disponível apenas para a função de Gerente.

A vulnerabilidade permite ataques XXE por meio de um recurso protegido por uma permissão não aplicada de `plone.schemaeditor.ManageSchemata`, que está disponível apenas para a função de Gerente.

O problema diz respeito à deserialização irrestrita no arquivo `staff.py`, localizado em `apps/helpdesk/views/`. Isso poderia potencialmente permitir atividades maliciosas devido à falta de restrições sobre o que pode ser deserializado. Não há informações sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada.