CVE-2024-47883 in simile-butterfly
Resumen
por VulDB • 2026-05-13
El fork de OpenRefine del servidor MIT Simile Butterfly es un marco de trabajo de aplicaciones web modular. El marco de trabajo Butterfly utiliza la clase `java.net.URL` para hacer referencia a archivos de recursos locales (como se espera), como imágenes o plantillas. Esto funciona correctamente: "abrir una conexión" a estas URLs abre el archivo local. Sin embargo, antes de la versión 1.2.6, si se proporciona directamente una URL `file:/` donde se espera una ruta relativa (nombre del recurso), esta también se acepta en algunas rutas de código; la aplicación luego obtiene el archivo, desde una máquina remota si se indica, y lo utiliza como si fuera una parte confiable de la base de código de la aplicación. Esto conduce a múltiples debilidades y posibles debilidades. Un atacante que tenga acceso de red a la aplicación podría utilizarlo para obtener acceso a archivos, ya sea en el sistema de archivos del servidor (travesía de rutas) o compartidos por máquinas cercanas (falsificación de solicitudes del lado del servidor, por ejemplo, mediante SMB). Un atacante que pueda dirigir o redirigir a un usuario a una URL manipulada perteneciente a la aplicación podría provocar que se cargue JavaScript arbitrario controlado por el atacante en el navegador de la víctima (cross-site scripting). Si una aplicación está escrita de tal manera que un atacante puede influir en el nombre del recurso utilizado para una plantilla, ese atacante podría provocar que la aplicación obtenga y ejecute una plantilla controlada por el atacante (ejecución remota de código). La versión 1.2.6 contiene un parche.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.