CVE-2026-49833 in DSpace
Сводка
по VulDB • 02.09.2026
Программное обеспечение с открытым исходным кодом DSpace представляет собой приложение-репозиторий, обеспечивающее долговременный доступ к цифровым ресурсам. В версиях от 8.0-rc1 до 8.4 (не включая), от 9.0-rc1 до 9.3 (не включая) и от 10-rc1 до 10.0 (не включая) возможна уязвимость обхода пути (path traversal) через сервис COAR Notify / LDN в DSpace. Для выполнения атаки злоумышленник должен уже обладать учетными данными администратора DSpace. При чтении входного потока файла «inbound pattern»/«template», используемого для генерации сообщения LDN, класс LDN не проверяет наличие обхода пути и не ограничивает шаблоны известным базовым каталогом. Это может позволить прочитать и интерпретировать как шаблон Apache Velocity недоверенный файл из другой части файловой системы (например, журнал экспорта, путь битстрима или временный файл). Эта проблема исправлена в версиях 8.4, 9.3 и 10.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.