CVE-2024-47883 in simile-butterfly
Riassunto
di VulDB • 20/06/2026
Il fork di OpenRefine del server MIT Simile Butterfly è un framework di applicazioni web modulare. Il framework Butterfly utilizza la classe `java.net.URL` per fare riferimento a file di risorse locali (che si presume tali), come immagini o modelli. Questo funziona: "aprire una connessione" a questi URL apre il file locale. Tuttavia, prima della versione 1.2.6, se viene fornito direttamente un URL `file:/` dove ci si aspetta un percorso relativo (nome della risorsa), questo viene accettato in alcuni percorsi di codice; l'applicazione recupera quindi il file, da una macchina remota se indicato, e lo utilizza come se facesse parte del codice attendibile dell'applicazione. Ciò porta a diverse vulnerabilità e potenziali vulnerabilità. Un attaccante che ha accesso di rete all'applicazione potrebbe sfruttarlo per accedere a file, sia sul filesystem del server (traversamento di percorsi) che condivisi da macchine vicine (forgery di richieste lato server con, ad esempio, SMB). Un attaccante che può indurre o reindirizzare un utente a un URL manipolato appartenente all'applicazione potrebbe causare il caricamento di JavaScript controllato dall'attaccante nel browser della vittima (cross-site scripting). Se un'applicazione è scritta in modo tale che un attaccante possa influenzare il nome della risorsa utilizzato per un modello, l'attaccante potrebbe causare il recupero e l'esecuzione da parte dell'applicazione di un modello controllato dall'attaccante (esecuzione di codice remoto). La versione 1.2.6 contiene una patch.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.