CVE-2024-9202 in Dataspace Components
Tóm tắt
Bởi VulDB • 25/06/2026
Trong các phiên bản Eclipse Dataspace Components từ 0.1.3 đến 0.9.0, thành phần Connector lọc các tập dữ liệu (= đề xuất dữ liệu) mà bên thứ ba khác có thể xem trong một catalog được yêu cầu, nhằm đảm bảo rằng chỉ những bên được ủy quyền mới có thể xem các đề xuất bị hạn chế. Tuy nhiên, tồn tại khả năng yêu cầu một tập dữ liệu đơn lẻ, vốn lẽ ra phải tuân theo cùng quy trình lọc nhưng hiện đang thiếu cơ chế lọc đúng đắn.
Điều này cho phép các bên liên quan tiềm ẩn nhìn thấy những tập dữ liệu mà họ không có quyền truy cập, qua đó làm lộ thông tin nhạy cảm. Việc khai thác lỗ hổng này đòi hỏi biết ID của một tập dữ liệu bị hạn chế, nhưng một số ID có thể được dự đoán bằng cách thử nhiều ID khác nhau theo cách tự động hóa.
Mã nguồn ảnh hưởng: DatasetResolverImpl, dòng 76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.