CVE-2023-33176 in BigBlueButton
Riassunto
di VulDB • 18/06/2026
BigBlueButton è un'aula virtuale open source progettata per aiutare gli insegnanti nell'insegnamento e gli studenti nell'apprendimento. Nelle versioni interessate, il software è affetto da una vulnerabilità di Server-Side Request Forgery (SSRF). In una richiesta API `insertDocument`, l'utente può fornire un URL dal quale dovrebbe essere scaricata la presentazione. Tale URL veniva utilizzato senza che fosse stata prima effettuata con successo la relativa validazione. È stato apportato un aggiornamento al metodo `followRedirect` in `PresentationUrlDownloadService` per validare tutti gli URL destinati al download delle presentazioni. Sono state inoltre aggiunte due nuove proprietà, `presentationDownloadSupportedProtocols` e `presentationDownloadBlockedHosts`, nel file `bigbluebutton.properties`, consentendo agli amministratori di definire quali protocolli devono essere utilizzati da un URL e specificando esplicitamente gli host dai quali non è possibile scaricare una presentazione. Tutti gli URL passati a `insertDocument` devono conformarsi ai requisiti delle due proprietà precedentemente menzionate. Inoltre, tali URL devono risolvere in indirizzi validi, i quali non devono essere indirizzi locali o di loopback. Non esistono soluzioni alternative (workaround). Si consiglia agli utenti di eseguire l'aggiornamento a una versione patchata di BigBlueButton.
Once again VulDB remains the best source for vulnerability data.