CVE-2026-49830
ŚrednieCVSS 4.4Streszczenie
DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, podczas ingestii zagregowanego zasobu ORE przez URI (przy użyciu OAI-ORE Harvester), Crosswalk ORE Ingestion nie waliduje schematu URI. Może to pozwolić na lokalne dołączanie plików poprzez złośliwe ścieżki, takie jak file:///etc/passwd. Atakujący musi mieć już uprawnienia administratora kolekcji w DSpace.
Ocena ryzyka
Osoba z uprawnieniami administratora kolekcji może odczytać lokalne pliki systemowe, co może prowadzić do ujawnienia wrażliwych informacji, takich jak hasła. Podatność wymaga już posiadania uprawnień administratora kolekcji.
Rekomendacja
Należy zaktualizować DSpace do wersji 7.6.7, 8.4, 9.3 lub 10.0, w których podatność została naprawiona. Dodatkowo ogranicz uprawnienia administratorów kolekcji i monitoruj operacje ingestii.
Inne podatności w DSpace
Zobacz wszystkie- CVE-2026-49833Średnie
DSpace, aplikacja repozytoryjna, w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz od 10-rc1 do przed 10.0, zawiera podatność na path traversal w usłudze COAR Notify / LDN. Atakujący musi mieć już uprawnienia administratora DSpace. Podczas odczytu pliku wejściowego wzorca (template) używanego do generowania wiadomości LDN, klasa LDN nie sprawdza path traversal ani nie ogranicza szablonów do znanej ścieżki bazowej. Może to pozwolić na odczyt i interpretację niezaufanego pliku z innego miejsca w systemie plików jako szablon Apache Velocity.
- CVE-2026-49832Wysokie
DSpace w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz 10-rc1 umożliwia zdalne wykonanie kodu (RCE) poprzez szablony Velocity używane do komunikatów COAR Notify/LDN. Problem naprawiono w wersjach 8.4, 9.3 i 10.0.
- CVE-2026-49831Średnie
DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, w funkcji Curation Task pozwala na użycie ścieżki wyjściowej przez parametr -r, która nie jest ograniczona do żadnej konkretnej ścieżki bazowej. Oznacza to, że każda ścieżka zapisywalna przez użytkownika DSpace (często 'tomcat') jest dozwolona. Stanowi to podatność na path traversal w skrypcie curate.
Oryginalny opis (angielski, źródło NVD)
DSpace open source software is a repository application which provides durable access to digital resources. Prior to versions 7.6.7, 8.4, 9.3, and 10.0, when ingesting an aggregated ORE resource by URI (using the OAI-ORE Harvester), the ORE Ingestion Crosswalk does not validate the URI scheme. This may allow for local file inclusion via malicious paths like file:///etc/passwd. The attacker MUST already have DSpace collection administrator privileges in order to perform the attack. This issue has been patched in versions 7.6.7, 8.4, 9.3, and 10.0.