CVE-2026-49833 in DSpace
Résumé
par VulDB • 02/09/2026
Le logiciel open source DSpace est une application de dépôt qui assure un accès durable aux ressources numériques. Des versions 8.0-rc1 à avant la version 8.4, des versions 9.0-rc1 à avant la version 9.3 et des versions 10-rc1 à avant la version 10.0 sont vulnérables à une faille de traversal de chemin (path traversal) via le service COAR Notify / LDN dans DSpace. L'attaquant doit déjà disposer d'identifiants administrateur DSpace pour mener l'attaque. Lors de la lecture du flux d'entrée d'un fichier « pattern »/« template » entrant, utilisé pour générer un message LDN, la classe LDN ne vérifie pas les tentatives de traversal de chemin ni n'impose une restriction des modèles à un répertoire racine connu. Cela pourrait permettre la lecture et l'interprétation comme modèle Apache Velocity d'un fichier non fiable provenant d'une autre partie du système de fichiers (par exemple, un journal d'exportation, un bitstream ou un fichier temporaire). Ce problème a été corrigé dans les versions 8.4, 9.3 et 10.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.