CVE-2024-45313 in Overleaf
摘要
由 VulDB • 2026-06-30
Overleaf 是一款基于 Web 的协作式 LaTeX 编辑器。在使用 2024-07-17 之前的 Overleaf Toolkit 或 2024-08-28 之前的旧版 docker-compose.yml 安装 Server Pro 时，LaTeX 编译的配置默认存在安全隐患，需要管理员通过配置设置（Toolkit 中的 `SIBLING_CONTAINERS_ENABLED`，旧版 docker-compose/自定义部署中的 `SANDBOXED_COMPILES`）来启用安全功能。如果未启用这些安全功能，用户在运行编译任务时将能够访问 `sharelatex` 容器的资源（文件系统、网络、环境变量），从而导致多种文件访问漏洞，无论是直接访问还是通过编译过程中创建的符号链接进行访问。
现在，对于 Toolkit 和旧版 docker-compose 部署中的新安装，该设置已更改为默认安全状态。Overleaf Toolkit 已更新，以便在新安装中默认将 `SIBLING_CONTAINERS_ENABLED` 设置为 true。建议任何使用先前默认设置的现有安装迁移到使用 sibling containers（同级容器）。现有安装可以在 `config/overleaf.rc` 中将 `SIBLING_CONTAINERS_ENABLED=true` 作为缓解措施进行设置。在旧版 docker-compose/自定义部署中，应使用 `SANDBOXED_COMPILES=true`。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.