CVE-2026-49833
ŚrednieCVSS 5.5Streszczenie
DSpace, aplikacja repozytoryjna, w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz od 10-rc1 do przed 10.0, zawiera podatność na path traversal w usłudze COAR Notify / LDN. Atakujący musi mieć już uprawnienia administratora DSpace. Podczas odczytu pliku wejściowego wzorca (template) używanego do generowania wiadomości LDN, klasa LDN nie sprawdza path traversal ani nie ogranicza szablonów do znanej ścieżki bazowej. Może to pozwolić na odczyt i interpretację niezaufanego pliku z innego miejsca w systemie plików jako szablon Apache Velocity.
Ocena ryzyka
Osoba z uprawnieniami administratora może odczytać dowolne pliki z systemu plików, w tym wrażliwe dane, i wykorzystać je jako szablony Velocity, co może prowadzić do dalszych ataków. Podatność wymaga już posiadania uprawnień administratora, co ogranicza ryzyko.
Rekomendacja
Należy zaktualizować DSpace do wersji 8.4, 9.3 lub 10.0, w których podatność została naprawiona. Dodatkowo warto ograniczyć uprawnienia administratora i monitorować aktywność LDN.
Inne podatności w DSpace
Zobacz wszystkie- CVE-2026-49832Wysokie
DSpace w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz 10-rc1 umożliwia zdalne wykonanie kodu (RCE) poprzez szablony Velocity używane do komunikatów COAR Notify/LDN. Problem naprawiono w wersjach 8.4, 9.3 i 10.0.
- CVE-2026-49831Średnie
DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, w funkcji Curation Task pozwala na użycie ścieżki wyjściowej przez parametr -r, która nie jest ograniczona do żadnej konkretnej ścieżki bazowej. Oznacza to, że każda ścieżka zapisywalna przez użytkownika DSpace (często 'tomcat') jest dozwolona. Stanowi to podatność na path traversal w skrypcie curate.
- CVE-2026-49830Średnie
DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, podczas ingestii zagregowanego zasobu ORE przez URI (przy użyciu OAI-ORE Harvester), Crosswalk ORE Ingestion nie waliduje schematu URI. Może to pozwolić na lokalne dołączanie plików poprzez złośliwe ścieżki, takie jak file:///etc/passwd. Atakujący musi mieć już uprawnienia administratora kolekcji w DSpace.
Oryginalny opis (angielski, źródło NVD)
DSpace open source software is a repository application which provides durable access to digital resources. From versions 8.0-rc1 to before 8.4, 9.0-rc1 to before 9.3, and 10-rc1 to before 10.0, a path traversal vulnerability is possible via the COAR Notify / LDN service in DSpace. The attacker MUST already have DSpace administrator credentials in order to perform the attack. When reading a file input stream of an "inbound pattern" / "template", used to generate an LDN message, the LDN class does not check for path traversal or restrict the templates to a known base path. This could allow an untrusted file from elsewhere in the file system (e.g. an export log, a bitstream path, a temporary file) to be read and interpreted as an Apache Velocity template. This issue has been patched in versions 8.4, 9.3, and 10.0.