CVE-2024-28253 in OpenMetadata
الملخص
بحسب VulDB • 02/08/2026
OpenMetadata هو منصة موحدة لاكتشاف البيانات، والرصد (Observability)، والحوكمة، مدعومة بمستودع مركزي للبيانات الوصفية، وتتبع دقيق لسلسلة التوزيع (Lineage)، وتعاون سلس بين الفرق. تُستدعى الدالة `CompiledRule::validateExpression` أيضًا من داخل `PolicyRepository.prepare`. يتم استدعاء `prepare()` من قبل `EntityRepository.prepareInternal()` والتي بدورها تستدعى بواسطة `EntityResource.createOrUpdate()`. تجدر الإشارة إلى أنه على الرغم من وجود فحص للصلاحيات (`authorizer.authorize()`)، إلا أنه يُنفَّذ بعد استدعاء `prepareInternal()` وبالتالي بعد تقييم تعبير SpEL. للوصول إلى هذه الطريقة، يمكن للمهاجم إرسال طلب PUT إلى `/api/v1/policies` والذي يتم التعامل معه بواسطة `PolicyResource.createOrUpdate()`. تم اكتشاف هذا الثغرة بمساعدة استعلام CodeQL الخاص بحقن لغة التعبير (Spring)، وهي مُتتبعة أيضًا تحت المعرف `GHSL-2023-252`. قد تؤدي هذه المشكلة إلى تنفيذ الأكواد عن بُعد (RCE) وقد تمت معالجة الأمر في الإصدار 1.3.1. يُنصح المستخدمون بالترقية. لا توجد حلول بديلة معروفة لهذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.