CVE-2026-57149

plone.app.portlets.portlets zapewnia specyficzny dla Plone interfejs użytkownika dla plone.portlets, a także standardowy zestaw portletów dostarczanych z Plone. Począwszy od wersji 5.0.0, aż do wersji 5.0.8, 6.0.4 i 7.0.2, portlet klasyczny (plone.app.portlets.portlets.classic) korzystał z dostarczonych przez użytkownika szablonów/pól makr do tworzenia wyrażenia ścieżki TALES, które było następnie oceniane przez pomocnik TAL path(). Ponieważ wartość została zinterpretowana jako pełne wyrażenie TALES, użytkownik mogący dodać lub edytować portlet klasyczny może dostarczyć spreparowaną wartość, która wymyka się prostemu przejściu ścieżki i jest oceniana jako dowolny kod. Może to wykorzystać każdy uwierzytelniony użytkownik, który może skonfigurować portlet klasyczny, który przy domyślnej mapie ról uwzględnia zwykłych użytkowników w ich osobistym panelu kontrolnym. Rezultatem jest wykonanie kodu w kontekście procesu Plone, tj. eskalacja uprawnień poprzez granicę zaufania pomiędzy uwierzytelnionym użytkownikiem sieci a procesem po stronie serwera. Problem został załatany w `plone.app.portlets` 5.0.8, 6.0.4 i 7.0.2. Dostępne są pewne obejścia. Ogranicz, kto może zarządzać portletami: usuń uprawnienie `plone.app.portlets.ManageOwnPortlets` z niezaufanych ról i ogranicz zarządzanie portletami do zaufanych administratorów (zwykle jest to już ograniczone do ról Menedżera i Administratora witryny). Jeżeli portlet klasyczny nie jest potrzebny, wyrejestruj go, aby nie można było go dodać. Należy to zrobić, edytując plik `portlets.xml` we własnym kodzie. Można również skutecznie wyłączyć wyświetlanie klasycznego portletu, dostosowując jego szablon. W interfejsie zarządzania Zope przejdź do narzędzia `portal_view_customizations`, znajdź szablon `classic.pt` i kliknij go. Kliknij przycisk Dostosuj. Usuń cały tekst i zastąp go słowami `<div>Portlet klasyczny został wyłączony.</div>`. (Nie jest to zalecany sposób dostosowywania szablonu, ale w tym przypadku jest całkiem skuteczny.)