CVE-2026-55247

Nome do Software Vulnerável e Versões Afetadas plone.app.event versões anteriores a 5.2.4 plone.app.event versões anteriores a 6.0.1

Description A funcionalidade de importação de iCalendar em src/plone/app/event/ical/importer.py não restringe adequadamente as URLs de calendário e eventos, não limita os bytes baixados ou eventos importados e confirma o trabalho por evento. Um editor autenticado pode explorar isso para realizar Server-Side Request Forgery (SSRF)—onde o servidor é forçado a fazer requisições a recursos de rede interna ou arquivos locais—esgotar os recursos do sistema para tirar o site do ar ou armazenar uma URL de evento maliciosa que execute scripts no navegador de outro usuário (Stored Cross-Site Scripting).

Recommendations Atualize para a versão 5.2.4. Atualize para a versão 6.0.1. Restrinja a permissão plone.app.event: Import Ical apenas para a função de Gerente (Manager) através da aba de Segurança da Interface de Gerenciamento do Zope (manage access).