There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Cross-site scripting (XSS) vulnerability in the manage_findResult component in the search feature in Zope
    ZMI in Plone before 4.3.12 and 5.x before 5.0.7 allows remote attackers to inject arbitrary web script or
    HTML via vectors involving double quotes, as demonstrated by the obj_ids:tokens parameter. NOTE: this
    vulnerability exists because of an incomplete fix for CVE-2016-7140. (CVE-2016-7147)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Plone 之前 4.3.12 和 5.x 之前的 5.0.7 中Zope ZMI 搜尋功能的 manage_findResult 元件中存有跨網站指令碼 (XSS) 弱點其允許遠端攻擊者透過涉及雙引號的向量插入任意 Web 指令碼或 HTML如下所示obj_ids:tokens 參數。注意：存在此弱點的原因是未完整修復 CVE-2016-7140。(CVE-2016-7147)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在低于 4.3.12 的 Plone 和低于 5.0.75.x 的 Plone 中Zope ZMI 的搜索功能中manage_findResult 组件中存在跨站脚本 (XSS) 漏洞允许远程攻击者通过涉及双引号的矢量注入任意 Web 脚本或 HTML这一点已证实obj_ids:tokens 参数。注意：存在此漏洞的原因是未完整修复 CVE-2016-7140。(CVE-2016-7147)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 Plone 版本早於 2.5.54.3.12或 5.0.x 早於 5.0.7。因此，該應用程式受到以下弱點影響：

  - Plone 中 Zope ZMI 搜尋功能中manage_findResult元件中的跨網站腳本 （XSS） 漏洞允許遠端攻擊者透過涉及雙引號的向量注入任意 Web 腳本或 HTML，如 obj_ids：tokens 參數所示。（CVE-2016-7147）

  - Plone 允許遠端攻擊者繞過沙箱保護機制，並利用 Python 字串格式方法獲取敏感資訊。（CVE-2017-5524）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。由於廠商 Hotfix （PloneHotfix20170117） 可以在不升級版本的情況下修復此問題，因此此外掛程式只會在 Paranoid 模式下執行時報告。

远程主机上安装的 Plone 版本低于 2.5.54.3.12或 5.0.x 低于 5.0.7。因此，该应用程序受到以下漏洞的影响：

  - Plone 的 Zope ZMI 中搜索功能的 manage_findResult 组件中的跨站脚本 （XSS） 漏洞允许远程攻击者通过涉及双引号的矢量注入任意 Web 脚本或 HTML，这一点已由 obj_ids：tokens 参数证实。（CVE-2016-7147）

  - Plone 允许远程攻击者绕过沙盒保护机制，通过利用 Python 字符串格式方法获取敏感信息。（CVE-2017-5524）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。由于供应商热修复 （PloneHotfix20170117） 可在不升级版本的情况下修复此问题，因此此插件仅在以 Paranoid 模式运行时才会报告。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.3.12 より前の Plone および 5.x [] より前の 5.0.7 のPlone の Zope ZMI での検索機能にある managed_findResult コンポーネントのクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者は、二重引用符を伴うベクトルを通じて、任意の Web スクリプトまたは HTML を注入することが可能です。これは、 によって実証されています。 obj_ids:tokens パラメーター。注意: この脆弱性は、CVE-2016-7140 の修正が不完全なために存在します。(CVE-2016-7147)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Plone のバージョンは、4.3.12 より前の 2.5.5、あるいは 5.0.7 より前の 5.0.x です。このため、以下の脆弱性の影響を受けます。

  - Plone の Zope ZMI における検索機能の manage_findResult コンポーネントにおけるクロスサイトスクリプティング(XSS)の脆弱性により、リモートの攻撃者が、二重引用符を含むベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。これは、obj_ids:tokens パラメーターで実証されています。(CVE-2016-7147)

  - Plone により、リモートの攻撃者は、Python 文字列フォーマットメソッドを利用して、サンドボックス保護メカニズムをバイパスし、機密情報を取得できます。(CVE-2017-5524)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。ベンダーのホットフィックス(PloneHotfix20170117)がバージョンをアップグレードすることなくこれを修正できるため、このプラグインは Paranoid モードで実行している場合にのみレポートします。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Cross-site scripting (XSS) vulnerability in the manage_findResult component in the search feature in Zope     ZMI in Plone before 4.3.12 and 5.x before 5.0.7 allows remote attackers to inject arbitrary web script or     HTML via vectors involving double quotes, as demonstrated by the obj_ids:tokens parameter. NOTE: this     vulnerability exists because of an incomplete fix for CVE-2016-7140. (CVE-2016-7147)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Plone installed on the remote host is 2.5.5 prior to 4.3.12, or 5.0.x prior to 5.0.7. It is, therefore, affected by the following vulnerabilities:

  - Cross-site scripting (XSS) vulnerability in the manage_findResult component in the search feature in Zope     ZMI in Plone allows remote attackers to inject arbitrary web script or HTML via vectors involving double     quotes, as demonstrated by the obj_ids:tokens parameter. (CVE-2016-7147)

  - Plone allows remote attackers to bypass a sandbox protection mechanism and obtain sensitive information by     leveraging the Python string format method. (CVE-2017-5524)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number. Since a vendor hotfix (PloneHotfix20170117) may remediate this without a version upgrade, this plugin only reports when running in Paranoid mode.

ID	名稱	產品	系列	已發布	已更新	嚴重性
433559	SCA: security update for plone (GHSA-84jm-cpc5-c7g7)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	medium
433559	SCA: security update for plone (GHSA-84jm-cpc5-c7g7)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	medium
263754	Linux Distros 未修補的弱點：CVE-2016-7147	Nessus	Misc.	2025/9/10	2025/9/10	medium
263754	Linux Distros 未修补的漏洞：CVE-2016-7147	Nessus	Misc.	2025/9/10	2025/9/10	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 多個漏洞（HF 20170117）	Nessus	Misc.	2026/7/22	2026/7/23	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 多种漏洞（HF 20170117）	Nessus	Misc.	2026/7/22	2026/7/23	medium
263754	Linux Distros のパッチ未適用の脆弱性: CVE-2016-7147	Nessus	Misc.	2025/9/10	2025/9/10	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 複数の脆弱性(HF 20170117)	Nessus	Misc.	2026/7/22	2026/7/23	medium
263754	Linux Distros Unpatched Vulnerability : CVE-2016-7147	Nessus	Misc.	2025/9/10	2025/9/10	medium
329022	Plone 2.5.5 < 4.3.12 / 5.0.x < 5.0.7 Multiple Vulnerabilities (HF 20170117)	Nessus	Misc.	2026/7/22	2026/7/23	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium