CVE-2024-47883

MIT Simile Butterfly serverinin OpenRefine çatallaması modulyar veb tətbiqi freymvorkudur. Butterfly freymvorku şəkillər və ya şablonlar kimi yerli resurs fayllarına istinad etmək üçün `java.net.URL` sinfindən istifadə edir. Bu proses belə işləyir: həmin URL-lərə "bağlantının açılması" yerli faylı açır. Lakin versiya 1.2.6-ya qədər, nisbi yolun (resurs adının) gözləndiyi yerdə birbaşa `file:/` URL-i verildikdə, bu bəzi kod yollarında qəbul edilir; daha sonra tətbiq faylı götürür (əgər göstərilibsə, uzaq maşından) və onu tətbiqin kod bazasının etibarlı hissəsi kimi istifadə edir. Bu, çox sayda zəifliyə və potensial zəifliklərə səbəb olur. Tətbiqə şəbəkə girişi olan hücumçu bundan həm serverin fayl sistemindəki fayllara giriş əldə etmək (path traversal), həm də yaxınlıqdakı maşınlar tərəfindən paylaşılmış faylları əldə etmək (məsələn, SMB vasitəsilə server-side request forgery) üçün istifadə edə bilər. İstifadəçini tətbiqə məxsus hazırlanmış xüsusi URL-ə yönləndirə bilən hücumçu, qurbanın brauzerində hücumçunun idarə etdiyi ixtiyari JavaScript kodunun yüklənməsinə səbəb ola bilər (cross-site scripting). Əgər tətbiq elə yazılıbsa ki, hücumçu şablon üçün istifadə olunan resurs adına təsir edə bilir, onda hücumçu tətbiqin onun idarə etdiyi şablonu götürməsinə və icra etməsinə səbəb ola bilər (uzaqdan kodun icrası). Versiya 1.2.6-da düzəliş mövcuddur.