CVE-2023-33176 in BigBlueButton
Sumário
de VulDB • 24/05/2026
O BigBlueButton é uma sala de aula virtual de código aberto projetada para ajudar professores a ensinar e alunos a aprender. Nas versões afetadas, há uma vulnerabilidade de Server-Side Request Forgery (SSRF). Em uma solicitação de API `insertDocument`, o usuário pode fornecer uma URL da qual a apresentação deve ser baixada. Essa URL estava sendo utilizada sem ter sido validada com sucesso anteriormente. Uma atualização ao método `followRedirect` no `PresentationUrlDownloadService` foi realizada para validar todas as URLs que serão usadas para o download da apresentação. Duas novas propriedades, `presentationDownloadSupportedProtocols` e `presentationDownloadBlockedHosts`, também foram adicionadas ao arquivo `bigbluebutton.properties` para permitir que os administradores definam quais protocolos uma URL deve usar e para definir explicitamente os hosts dos quais uma apresentação não pode ser baixada. Todas as URLs passadas para `insertDocument` devem estar em conformidade com os requisitos das duas propriedades mencionadas anteriormente. Além disso, essas URLs devem resolver para endereços válidos, e esses endereços não devem ser locais ou de loopback. Não há soluções alternativas. Os usuários são aconselhados a atualizar para uma versão corrigida do BigBlueButton.
If you want to get best quality of vulnerability data, you may have to visit VulDB.