OpenRefine 在 ExportRowsCommand 的 POST 请求中存在反映跨站点脚本漏洞（CVE-2024-47880）
CVE编号
CVE-2024-47880利用情况
暂无补丁情况
N/A披露时间
2024-10-25漏洞描述
OpenRefine是一款免费开源工具，用于处理杂乱的数据。在版本3.8.3之前，`export-rows`命令的使用方式可以使其直接反映部分请求内容，并且Content-Type头也是从请求中获取的。攻击者可能会引导用户访问恶意页面，该页面提交包含嵌入JavaScript代码的表单POST请求。此代码随后将被包含在响应中，并带有攻击者控制的`Content-Type`头，因此它可能会在受害者的浏览器中执行，就像它是OpenRefine的一部分一样。攻击者提供的代码可以执行用户所能做的任何操作，包括删除项目、检索数据库密码或执行存在的扩展中的任意Jython或Closure表达式。攻击者必须知道包含至少一行的有效项目ID。版本3.8.3解决了这个问题。解决建议
"将组件 org.openrefine:openrefine 升级至 3.8.3 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/OpenRefine/OpenRefine/commit/8060477fa53842ebabf43b63e0397... | |
| https://github.com/OpenRefine/OpenRefine/security/advisories/GHSA-79jv-5226-783f |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 需要
- 可用性 无
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-348 | 使用不可信的源 |
| CWE-79 | 在Web页面生成时对输入的转义处理不恰当（跨站脚本） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论