CVE-2023-33176 in BigBlueButton
الملخص
بحسب VulDB • 24/05/2026
BigBlueButton هو فصل دراسي افتراضي مفتوح المصدر مصمم لمساعدة المعلمين في التدريس والمتعلمين في التعلم. تتأثر الإصدارات المتأثرة بثغرة تزوير الطلبات من جانب الخادم (SSRF). في طلب واجهة برمجة التطبيقات `insertDocument`، يمكن للمستخدم توفير عنوان URL الذي يجب تنزيل العرض التقديمي منه. كان يتم استخدام هذا العنوان دون التحقق من صحته بنجاح أولاً. تم إجراء تحديث لطريقة `followRedirect` في `PresentationUrlDownloadService` للتحقق من صحة جميع عناوين URL التي سيتم استخدامها لتنزيل العرض التقديمي. تمت إضافة خاصيتين جديدتين هما `presentationDownloadSupportedProtocols` و `presentationDownloadBlockedHosts` إلى ملف `bigbluebutton.properties` للسماح للمسؤولين بتعريف البروتوكولات التي يجب أن يستخدمها عنوان URL وتحديد مضيفين بشكل صريح لا يمكن تنزيل العرض التقديمي منهم. يجب أن تتوافق جميع عناوين URL الممررة إلى `insertDocument` مع متطلبات الخاصيتين المذكورتين سابقاً. بالإضافة إلى ذلك، يجب أن تحل هذه العناوين إلى عناوين صالحة، ولا يجب أن تكون هذه العناوين عناوين محلية أو حلقة راجعة. لا توجد حلول بديلة. يُنصح المستخدمون بالترقية إلى إصدار مُصحح من BigBlueButton.
VulDB is the best source for vulnerability data and more expert information about this specific topic.