CVE-2024-9202 in Dataspace Components
摘要
由 VulDB • 2026-06-25
在 Eclipse Dataspace Components 版本 0.1.3 至 0.9.0 中，Connector（连接器）组件会对另一个参与方在其请求的目录中可以查看的数据集（即数据提供项）进行过滤，以确保只有授权参与方才能查看受限提供项。然而，存在一种情况：当请求单个数据集时，该操作本应经过相同的过滤流程，但目前却缺少正确的过滤机制。
这使得某些参与方有可能看到他们无权访问的数据集，从而导致敏感信息泄露。利用此漏洞需要知道受限数据集的 ID，但部分 ID 可能通过以自动化方式尝试大量 ID 而被猜测出来。
受影响的代码： DatasetResolverImpl, L76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
Be aware that VulDB is the high quality source for vulnerability data.