CVE-2026-49832
WysokieCVSS 8.0Streszczenie
DSpace w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz 10-rc1 umożliwia zdalne wykonanie kodu (RCE) poprzez szablony Velocity używane do komunikatów COAR Notify/LDN. Problem naprawiono w wersjach 8.4, 9.3 i 10.0.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod na serwerze, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj DSpace do wersji 8.4, 9.3 lub 10.0.
Inne podatności w DSpace
Zobacz wszystkie- CVE-2026-49833Średnie
DSpace, aplikacja repozytoryjna, w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz od 10-rc1 do przed 10.0, zawiera podatność na path traversal w usłudze COAR Notify / LDN. Atakujący musi mieć już uprawnienia administratora DSpace. Podczas odczytu pliku wejściowego wzorca (template) używanego do generowania wiadomości LDN, klasa LDN nie sprawdza path traversal ani nie ogranicza szablonów do znanej ścieżki bazowej. Może to pozwolić na odczyt i interpretację niezaufanego pliku z innego miejsca w systemie plików jako szablon Apache Velocity.
- CVE-2026-49831Średnie
DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, w funkcji Curation Task pozwala na użycie ścieżki wyjściowej przez parametr -r, która nie jest ograniczona do żadnej konkretnej ścieżki bazowej. Oznacza to, że każda ścieżka zapisywalna przez użytkownika DSpace (często 'tomcat') jest dozwolona. Stanowi to podatność na path traversal w skrypcie curate.
- CVE-2026-49830Średnie
DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, podczas ingestii zagregowanego zasobu ORE przez URI (przy użyciu OAI-ORE Harvester), Crosswalk ORE Ingestion nie waliduje schematu URI. Może to pozwolić na lokalne dołączanie plików poprzez złośliwe ścieżki, takie jak file:///etc/passwd. Atakujący musi mieć już uprawnienia administratora kolekcji w DSpace.
Oryginalny opis (angielski, źródło NVD)
DSpace open source software is a repository application which provides durable access to digital resources. From versions 8.0-rc1 to before 8.4, versions 9.0-rc1 to before 9.3, and version 10-rc1, Remote Code Execution (RCE) is possible via Velocity Templates used by DSpace for COAR Notify/LDN messages. This issue has been patched in versions 8.4, 9.3, and 10.0.