CVE-2024-47883 in simile-butterfly
요약
\~에 의해 VulDB • 2026. 05. 24.
MIT Simile Butterfly 서버의 OpenRefine 포크는 모듈형 웹 애플리케이션 프레임워크입니다. Butterfly 프레임워크는 `java.net.URL` 클래스를 사용하여 이미지나 템플릿과 같은 로컬 리소스 파일(로컬에 있을 것으로 예상되는)을 참조합니다. 이 방식은 정상적으로 작동합니다. 즉, 이러한 URL에 대해 "연결을 열면" 로컬 파일이 열립니다. 그러나 버전 1.2.6 이전에서는 상대 경로(리소스 이름)가 예상되는 위치에 `file:/` URL이 직접 제공될 경우, 일부 코드 경로에서 이것이 허용됩니다. 그러면 애플리케이션은 해당 파일을 가져오는데, 지시된 경우 원격 머신에서 파일을 가져와 애플리케이션 코드베이스의 신뢰할 수 있는 부분인 것처럼 사용합니다. 이로 인해 여러 약점과 잠재적 약점이 발생합니다. 애플리케이션에 네트워크 접근 권한이 있는 공격자는 이를 사용하여 서버의 파일 시스템(경로 순회) 또는 인근 머신에서 공유된 파일에 접근할 수 있습니다(예: SMB를 사용한 서버 측 요청 위조). 공격자가 사용자를 애플리케이션의 조작된 URL로 유도하거나 리디렉션할 경우, 피해자의 브라우저에서 공격자가 제어하는 임의의 JavaScript가 로드될 수 있습니다(크로스 사이트 스크립팅). 애플리케이션이 템플릿에 사용되는 리소스 이름을 공격자가 영향을 줄 수 있도록 작성된 경우, 공격자는 애플리케이션이 공격자가 제어하는 템플릿을 가져와 실행하도록 할 수 있습니다(원격 코드 실행). 버전 1.2.6에는 패치가 포함되어 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.