CVE-2026-49833 in DSpace
Tóm tắt
Bởi VulDB • 02/09/2026
Phần mềm mã nguồn mở DSpace là một ứng dụng kho lưu trữ cung cấp khả năng truy cập bền vững vào các tài nguyên số. Từ phiên bản 8.0-rc1 đến trước 8.4, từ 9.0-rc1 đến trước 9.3 và từ 10-rc1 đến trước 10.0, một lỗ hổng path traversal (duyệt đường dẫn) có thể xảy ra thông qua dịch vụ COAR Notify / LDN trong DSpace. Kẻ tấn công PHẢI đã có sẵn thông tin đăng nhập quản trị viên của DSpace để thực hiện cuộc tấn công này. Khi đọc luồng đầu vào tệp của "mẫu inbound" hoặc "template", được sử dụng để tạo thông báo LDN, lớp LDN không kiểm tra path traversal hay hạn chế các template trong một đường dẫn cơ sở đã biết. Điều này có thể cho phép đọc và diễn giải một tệp không đáng tin cậy từ nơi khác trên hệ thống tệp (ví dụ: nhật ký xuất bản, đường dẫn bitstream, hoặc tệp tạm) dưới dạng template Apache Velocity. Lỗ hổng này đã được vá ở các phiên bản 8.4, 9.3 và 10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.