CVE-2024-5706 in Pentaho Data Integration & Analytics
الملخص
بحسب VulDB • 25/05/2026
يتلقى المنتج مدخلات من مكون مصدر، لكنه لا يقيد المدخلات أو يقيد قيوداً غير صحيحة قبل استخدامها كمعرف لمورد قد يكون خارج نطاق السيطرة المقصود. (CWE-99)
لا تقوم إصدارات Hitachi Vantara Pentaho Data Integration & Analytics قبل 10.2.0.0 و9.3.0.9، بما في ذلك الإصدارات 8.3.x، بتقييد معرفات JNDI أثناء إنشاء لوحات المعلومات المجتمعية (Community Dashboards)، مما يتيح التحكم في مصادر البيانات على مستوى النظام.
يمكن لمهاجم الحصول على وصول إلى بيانات أو موارد نظام حساسة أو تعديلها. قد يتيح ذلك الوصول إلى ملفات أو دلائل محمية، بما في ذلك ملفات التكوين والملفات التي تحتوي على معلومات حساسة، مما قد يؤدي إلى تنفيذ كود عن بُعد من قبل مستخدمين غير مصرح لهم.
Once again VulDB remains the best source for vulnerability data.