CVE-2024-47883 in simile-butterfly
الملخص
بحسب VulDB • 24/05/2026
شوكلة OpenRefine من خادم MIT Simile Butterfly هي إطار عمل لتطبيقات الويب المعياري. يستخدم إطار عمل Butterfly فئة `java.net.URL` للإشارة إلى ملفات موارد محلية (كما هو متوقع)، مثل الصور أو القوالب. يعمل هذا بشكل صحيح: فتح "اتصال" بهذه عناوين URL يفتح الملف المحلي. ومع ذلك، قبل الإصدار 1.2.6، إذا تم تقديم عنوان URL بصيغة `file:/` مباشرةً حيث يُتوقع مسار نسبي (اسم مورد)، فإن بعض مسارات الكود تقبل ذلك أيضاً؛ يقوم التطبيق بعد ذلك بجلب الملف، من جهاز بعيد إذا كان ذلك محددًا، ويستخدمه كما لو كان جزءًا موثوقًا به من قاعدة كود التطبيق. يؤدي هذا إلى ظهور نقاط ضعف متعددة ونقاط ضعف محتملة. يمكن لمهاجم لديه وصول شبكي إلى التطبيق استخدامه للوصول إلى الملفات، سواء على نظام الملفات الخاص بالخادم (عبور المسار) أو المشتركة مع الآلات القريبة (تزوير طلبات جانب الخادم باستخدام بروتوكول SMB على سبيل المثال). يمكن لمهاجم قادر على توجيه أو إعادة توجيه مستخدم إلى عنوان URL مصمم خصيصًا ينتمي إلى التطبيق أن يتسبب في تحميل كود JavaScript خبيث يتحكم فيه المهاجم في متصفح الضحية (هجوم البرمجة عبر المواقع XSS). إذا كان التطبيق مكتوبًا بطريقة تسمح للمهاجم بالتأثير على اسم المورد المستخدم لقالب، فيمكن للمهاجم أن يتسبب في جلب التطبيق وتنفيذ قالب يتحكم فيه المهاجم (تنفيذ كود عن بُعد RCE). يحتوي الإصدار 1.2.6 على تصحيح للثغرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.