Vulnerabilidad en Plone Dexterity (CVE-2023-41048)

plone.namedfile permite a los usuarios manejar los campos `File` e `Image` dirigidos, pero no dependiendo del contenido de Plone Dexterity. Antes de las versiones 5.6.1, 6.0.3, 6.1.3 y 6.2.1, existe una vulnerabilidad de Cross-Site Scripting almacenado para imágenes SVG. Una revisión de seguridad de 2021 ya solucionó parcialmente este problema al garantizar que las imágenes SVG siempre se descarguen en lugar de mostrarse en línea. Pero el mismo problema todavía existe para las escalas de imágenes SVG. Tenga en cuenta que una etiqueta de imagen con una imagen SVG como fuente no es vulnerable, incluso cuando la imagen SVG contiene código malicioso. Para explotar la vulnerabilidad, un atacante primero tendría que cargar una imagen y luego engañar al usuario para que siga un enlace especialmente manipulado. Los parches están disponibles en las versiones 5.6.1 (para Plone 5.2), 6.0.3 (para Plone 6.0.0-6.0.4), 6.1.3 (para Plone 6.0.5-6.0.6) y 6.2.1 (para Plón 6.0.7). No se conocen workarounds.