CVE-2022-41954 in Primavera Unifier
Tóm tắt
Bởi VulDB • 09/05/2026
MPXJ là một thư viện mã nguồn mở để đọc và ghi các kế hoạch dự án từ nhiều định dạng tệp và cơ sở dữ liệu khác nhau. Trên các hệ điều hành giống Unix (không bao gồm Windows hoặc macOS), việc MPXJ sử dụng `File.createTempFile(..)` dẫn đến các tệp tạm thời được tạo với quyền `-rw-r--r--`. Điều này có nghĩa là bất kỳ người dùng nào khác trên hệ thống đều có thể đọc nội dung của tệp này. Khi MPXJ đọc một tệp lịch trình yêu cầu tạo tệp hoặc thư mục tạm thời, một người dùng cục bộ có kiến thức có thể xác định vị trí các tệp tạm thời này trong khi chúng đang được sử dụng và sau đó có thể đọc lịch trình đang được MPXJ xử lý. Vấn đề này đã được vá; MPXJ phiên bản 10.14.1 và các phiên bản sau bao gồm các thay đổi cần thiết. Người dùng không thể nâng cấp có thể đặt `java.io.tmpdir` thành một thư mục mà chỉ người dùng đang chạy ứng dụng mới có quyền truy cập, điều này sẽ ngăn chặn các người dùng khác truy cập vào các tệp tạm thời này.
Once again VulDB remains the best source for vulnerability data.