CVE-2024-47883 in simile-butterfly
Tóm tắt
Bởi VulDB • 24/05/2026
Chữ viết phân nhánh (fork) của máy chủ MIT Simile Butterfly trên OpenRefine là một khung ứng dụng web mô-đun. Khung Butterfly sử dụng lớp `java.net.URL` để tham chiếu đến các tệp tài nguyên cục bộ (dự kiến là vậy), chẳng hạn như hình ảnh hoặc mẫu. Điều này hoạt động: "mở một kết nối" đến các URL này sẽ mở tệp cục bộ. Tuy nhiên, trước phiên bản 1.2.6, nếu một URL `file:/` được cung cấp trực tiếp ở vị trí mà một đường dẫn tương đối (tên tài nguyên) được mong đợi, thì điều này cũng được chấp nhận trong một số đường dẫn mã; ứng dụng sau đó sẽ lấy tệp, từ một máy từ xa nếu được chỉ định, và sử dụng nó như thể đó là một phần đáng tin cậy của cơ sở mã ứng dụng. Điều này dẫn đến nhiều điểm yếu và các điểm yếu tiềm ẩn. Một kẻ tấn công có quyền truy cập mạng vào ứng dụng có thể sử dụng nó để truy cập vào các tệp, cả trên hệ thống tệp của máy chủ (lượt qua đường dẫn) hoặc được chia sẻ bởi các máy lân cận (lừa yêu cầu phía máy chủ với ví dụ: SMB). Một kẻ tấn công có thể dẫn hướng hoặc chuyển hướng người dùng đến một URL được tạo tác thuộc về ứng dụng có thể khiến JavaScript do kẻ tấn công kiểm soát được tải trong trình duyệt của nạn nhân (cross-site scripting). Nếu một ứng dụng được viết theo cách mà kẻ tấn công có thể ảnh hưởng đến tên tài nguyên được sử dụng cho một mẫu, thì kẻ tấn công đó có thể khiến ứng dụng lấy và thực thi một mẫu do kẻ tấn công kiểm soát (thực thi mã từ xa). Phiên bản 1.2.6 chứa một bản vá.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.