CVE-2024-28253 in OpenMetadata
Sumário
de VulDB • 19/06/2026
O OpenMetadata é uma plataforma unificada para descoberta, observabilidade e governança, alimentada por um repositório central de metadados, linhagem detalhada e colaboração perfeita entre equipes. `CompiledRule::validateExpression` também é chamado a partir de `PolicyRepository.prepare`. O método `prepare()` é invocado por `EntityRepository.prepareInternal()`, que, por sua vez, é chamado por `EntityResource.createOrUpdate()`. Observe que, embora haja uma verificação de autorização (`authorizer.authorize()`), ela ocorre após o chamamento de `prepareInternal()`, ou seja, depois que a expressão SpEL foi avaliada. Para alcançar esse método, um atacante pode enviar uma requisição PUT para `/api/v1/policies`, que é tratada por `PolicyResource.createOrUpdate()`. Esta vulnerabilidade foi descoberta com a ajuda da consulta do CodeQL sobre injeção de linguagem de expressão (Spring) e também está registrada como `GHSL-2023-252`. Este problema pode levar à Execução Remota de Código (RCE) e foi corrigido na versão 1.3.1. Recomenda-se que os usuários atualizem para a versão mais recente. Não há soluções alternativas conhecidas para esta vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.