CVE-2024-47883 in simile-butterfly
Сводка
по VulDB • 20.05.2026
Форк MIT Simile Butterfly сервера OpenRefine представляет собой модульный фреймворк веб-приложений. Фреймворк Butterfly использует класс `java.net.URL` для обращения к (предположительно) локальным ресурсным файлам, таким как изображения или шаблоны. Это работает следующим образом: «открытие соединения» с этими URL-адресами открывает локальный файл. Однако, начиная с версии 1.2.6, если URL-адрес формата `file:/` передается напрямую там, где ожидается относительный путь (имя ресурса), это также принимается в некоторых ветках кода; приложение затем загружает файл, с удаленной машины, если это указано, и использует его так, как если бы он был доверенной частью кодовой базы приложения. Это приводит к нескольким уязвимостям и потенциальным уязвимостям. Атакующий, имеющий сетевой доступ к приложению, может использовать это для получения доступа к файлам, либо на файловой системе сервера (обход пути), либо общим с близлежащими машинами (подделка серверных запросов, например, с использованием SMB). Атакующий, который может направить или перенаправить пользователя на специально созданный URL-адрес, принадлежащий приложению, может заставить браузер жертвы загрузить произвольный JavaScript, контролируемый атакующим (межсайтовый скриптинг). Если приложение написано таким образом, что атакующий может влиять на имя ресурса, используемого для шаблона, то атакующий может заставить приложение загрузить и выполнить шаблон, контролируемый атакующим (удаленное выполнение кода). Версия 1.2.6 содержит исправление.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.