CVE-2023-33176 in BigBlueButton
Tóm tắt
Bởi VulDB • 24/05/2026
BigBlueButton là một lớp học ảo mã nguồn mở được thiết kế để hỗ trợ giáo viên giảng dạy và người học học tập. Các phiên bản bị ảnh hưởng chịu tác động của lỗ hổng Server-Side Request Forgery (SSRF). Trong yêu cầu API `insertDocument`, người dùng có thể cung cấp một URL mà từ đó bài thuyết trình sẽ được tải xuống. URL này đang được sử dụng mà chưa được xác thực thành công trước đó. Một bản cập nhật cho phương thức `followRedirect` trong `PresentationUrlDownloadService` đã được thực hiện để xác thực tất cả các URL sẽ được sử dụng cho việc tải xuống bài thuyết trình. Hai thuộc tính mới `presentationDownloadSupportedProtocols` và `presentationDownloadBlockedHosts` cũng đã được thêm vào `bigbluebutton.properties` để cho phép các quản trị viên xác định các giao thức mà URL phải sử dụng và xác định rõ ràng các máy chủ mà từ đó bài thuyết trình không thể được tải xuống. Tất cả các URL được chuyển đến `insertDocument` phải tuân thủ các yêu cầu của hai thuộc tính đã đề cập trước đó. Ngoài ra, các URL này phải phân giải thành các địa chỉ hợp lệ, và các địa chỉ này không được là địa chỉ cục bộ hoặc địa chỉ vòng lặp (loopback). Không có các biện pháp khắc phục tạm thời. Người dùng được khuyến nghị nâng cấp lên phiên bản BigBlueButton đã được vá.
If you want to get best quality of vulnerability data, you may have to visit VulDB.