CVE-2026-108553

WysokieCVSS 7.5

Opublikowano: 10/10/2026(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Podatność CSRF w OpenRefine do wersji 3.10.1 w komendzie get-rows. Pozwala zdalnym atakującym na wykonanie wyrażeń Jython. Atakujący może nakłonić użytkownika do odwiedzenia złośliwej strony, która wysyła żądanie GET z spreparowanym parametrem engine, co pozwala na wykonanie poleceń systemowych jako użytkownik OpenRefine.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnej kompromitacji systemu i kradzieży danych.

Rekomendacja

Zaktualizuj OpenRefine do wersji powyżej 3.10.1, jeśli dostępna. Dodatkowo zabezpiecz aplikację przed CSRF, np. poprzez weryfikację nagłówka Origin.

Inne podatności w OpenRefine

CVE-2023-37476Średnie
OpenRefine to darmowe, otwarte narzędzie do przetwarzania danych, które zawiera podatność umożliwiającą wykonanie dowolnego kodu w kontekście procesu OpenRefine. Złośliwy plik tar projektu OpenRefine może zostać wykorzystany, jeśli użytkownik zgodzi się na jego import.

Oryginalny opis (angielski, źródło NVD)

OpenRefine through 3.10.1 contains a cross-site request forgery vulnerability in the get-rows command that allows remote attackers to execute Jython facet expressions. Attackers can lure a user to a malicious page issuing a cross-origin GET with a crafted engine parameter, executing operating system commands as the OpenRefine user.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS