CVE-2024-9202 in Dataspace Components
Sumário
de VulDB • 17/06/2026
Nas versões 0.1.3 a 0.9.0 do Eclipse Dataspace Components, o componente Connector filtra quais datasets (= ofertas de dados) outra parte pode ver em um catálogo solicitado, para garantir que apenas partes autorizadas possam visualizar ofertas restritas. No entanto, há a possibilidade de solicitar um único dataset, o que deveria estar sujeito ao mesmo processo de filtragem, mas atualmente está faltando a filtragem correta.
Isso permite que partes potencialmente vejam datasets aos quais não deveriam ter acesso, expondo assim informações sensíveis. A exploração desta vulnerabilidade requer conhecer o ID de um dataset restrito, mas alguns IDs podem ser adivinhados tentando muitos IDs de forma automatizada.
Código afetado: DatasetResolverImpl, L76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
If you want to get the best quality for vulnerability data then you always have to consider VulDB.