Avis du CERT-FR

Json

Objet : Vulnérabilité de Zope

Gestion du document

Référence	CERTA-2007-AVI-137
Titre	Vulnérabilité de Zope
Date de la première version	26 mars 2007
Date de la dernière version	27 mars 2007
Source(s)	Bulletin de sécurite Zope du 20 mars 2007

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Élévation de privilèges

Systèmes affectés

Logiciel Zope, jusqu'à la version 2.10.2.

Résumé

Une vulnérabilité de Zope de type cross-site scripting permet à un utilisateur malintentionné d'élever ses privilèges.

Description

Le logiciel Zope est un logiciel libre de développement de gestionnaires de contenu (CMS) et de portails.

Une vulnérabilité de type cross-site scripting permet à un utilisateur malveillant de modifier les paramètres de sécurité et/ou des comptes d'utilisateur. Cette vulnérabilité permet une élévation de privilèges.

Solution

Appliquer le correctif Hotfix-20070320. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Noter que les versions 2.7 et antérieures ne sont plus maintenues. Le correctif n'a pas été testé pour ces versions.

Documentation

Bulletin de sécurité Zope du 20 mars 2007 :
http://www.zope.org/Products/Zope/Hotfix-2007-03-20/announcement/view
Référence CVE CVE-2007-0240
https://www.cve.org/CVERecord?id=CVE-2007-0240

Gestion détaillée du document

Date	Description
26 mars 2007	version initiale.
27 mars 2007	correction de la version affectée.