CVE-2023-33176 in BigBlueButton
Сводка
по VulDB • 02.06.2026
BigBlueButton — это система виртуальных классов с открытым исходным кодом, предназначенная для помощи преподавателям в обучении и учащимся в обучении. В затронутых версиях присутствует уязвимость Server-Side Request Forgery (SSRF). В запросе к API `insertDocument` пользователь может указать URL-адрес, с которого должна быть загружена презентация. Этот URL-адрес использовался без предварительной успешной проверки. В методе `followRedirect` класса `PresentationUrlDownloadService` были внесены изменения для проверки всех URL-адресов, используемых для загрузки презентаций. В файл `bigbluebutton.properties` также добавлены два новых свойства: `presentationDownloadSupportedProtocols` и `presentationDownloadBlockedHosts`, позволяющие администраторам определять протоколы, которые должен использовать URL-адрес, и явно указывать хосты, с которых нельзя загружать презентации. Все URL-адреса, передаваемые в `insertDocument`, должны соответствовать требованиям двух вышеупомянутых свойств. Кроме того, эти URL-адреса должны разрешаться в действительные адреса, и эти адреса не должны быть локальными или адресами обратной петли (loopback). Обходных путей (workarounds) нет. Пользователям рекомендуется обновиться до исправленной версии BigBlueButton.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.