Cyber ·
Plone: falha em plone.app.content permite listar usuários pela API REST
Aviso de segurança de 22 de outubro de 2026: usuários não autenticados podem listar usuários e grupos de sites Plone com a API REST habilitada, incluindo ID e nome completo.
A equipe de Segurança do Plone e do Zope anunciou uma vulnerabilidade de divulgação de informações no pacote plone.app.content. Segundo o resumo, um usuário não autenticado pode listar os usuários e grupos de um site Plone. Os resultados incluem o ID de usuário e o nome completo. O problema afeta sites que têm a API REST do Plone habilitada. O texto original foi publicado em 22 de outubro de 2026 no feed oss-sec, assinado por Maurits van Rees, e o identificador do aviso é GHSA-vhwp-qc29-j4xp. A cópia recebida é uma tradução automática e está truncada antes da lista completa de condições, por isso não informa versões afetadas nem a versão corrigida.
Para verificar, consulte o aviso original no repositório oficial do pacote e no feed oss-sec, que trazem versões afetadas, correções e orientações. Se sua organização usa Plone com a API REST, confirme se ela está habilitada e quem pode acessar os endpoints de usuários e grupos. A Rota Nacional não corrige nem avalia essa vulnerabilidade. Ela só entra no caso se você usar IA para estudar o aviso.
Fonte original: Correção de segurança do Plone 20261022: divulgação de informações