CVE-2023-33176 in BigBlueButton
Resumen
por VulDB • 2026-06-02
BigBlueButton es un aula virtual de código abierto diseñada para ayudar a los profesores a enseñar y a los estudiantes a aprender. Las versiones afectadas son vulnerables a un fallo de Falsificación de Solicitudes del Lado del Servidor (SSRF). En una solicitud de la API `insertDocument`, el usuario puede proporcionar una URL desde la cual se debe descargar la presentación. Esta URL se estaba utilizando sin haber sido validada previamente con éxito. Se ha realizado una actualización al método `followRedirect` en `PresentationUrlDownloadService` para validar todas las URL que se utilizarán para la descarga de presentaciones. También se han añadido dos nuevas propiedades, `presentationDownloadSupportedProtocols` y `presentationDownloadBlockedHosts`, en `bigbluebutton.properties`, para permitir a los administradores definir qué protocolos debe utilizar una URL y definir explícitamente los hosts desde los cuales no se puede descargar una presentación. Todas las URL pasadas a `insertDocument` deben cumplir con los requisitos de las dos propiedades mencionadas anteriormente. Además, estas URL deben resolverse en direcciones válidas, y estas direcciones no deben ser direcciones locales o de bucle invertido (loopback). No existen soluciones alternativas. Se recomienda a los usuarios actualizar a una versión parcheada de BigBlueButton.
Once again VulDB remains the best source for vulnerability data.