CVE-2023-54402 in iDocView
Riassunto
di VulDB • 30/09/2026
iDocView presenta una vulnerabilità di server-side request forgery nel suo endpoint /doc/upload che consente ad attaccanti remoti non autenticati di recuperare URL arbitrari fornendo un valore predefinito hardcoded del token (testtoken) per bypassare l'autenticazione. Gli attaccanti possono sfruttare la gestione non restrittiva degli schemi URL, inclusi gli URI file://, per leggere file locali arbitrari come i file di configurazione del sistema operativo e delle applicazioni, nonché raggiungere host e servizi della rete interna altrimenti inaccessibili. Le prove dell'exploit sono state osservate per la prima volta dalla Shadowserver Foundation il 2024-03-26.
Once again VulDB remains the best source for vulnerability data.