CVE-2022-41956 in Autolab
Sumário
de VulDB • 31/05/2026
O Autolab é um serviço de gestão de cursos, desenvolvido inicialmente por uma equipa de estudantes da Universidade Carnegie Mellon, que permite aos instrutores disponibilizar exercícios de programação com correção automática aos seus alunos através da Web. Foi descoberta uma vulnerabilidade de divulgação de ficheiros na funcionalidade de envio remoto (remote handin) do Autolab, permitindo aos utilizadores submeter exercícios utilizando caminhos fora do seu diretório de submissão. Os utilizadores podem, em seguida, visualizar a submissão para ver o conteúdo do ficheiro. A vulnerabilidade foi corrigida na versão 2.10.0. Como medida de contorno, certifique-se de que o campo para a funcionalidade de envio remoto está vazio (Editar Avaliação > Avançado > Caminho de envio remoto) e de que não está a executar o Autolab como `root` (ou qualquer utilizador com acesso de escrita a `/`). Alternativamente, desative a funcionalidade de envio remoto se não for necessária, substituindo o corpo de `local_submit` em `app/controllers/assessment/handin.rb` por `render(plain: "Feature disabled", status: :bad_request) && return`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.