CVE-2021-38295

Apache CouchDB'de, bir veritabanında belge oluşturma iznine sahip kötü niyetli bir kullanıcı, bir belgeye HTML eki ekleyebilir. Bir CouchDB yöneticisi bu eki örneğin CouchDB yönetici arayüzü Fauxton üzerinden bir tarayıcıda açarsa, söz konusu HTML ekine gömülmüş herhangi bir JavaScript kodu, o yöneticinin güvenlik bağlamında çalıştırılacaktır. Benzer bir yol, halihazırda kullanımdan kaldırılmış olan _show ve _list işlevselliği ile de mümkündür. Bu yetki yükseltme zafiyeti, bir saldırganın herhangi bir veritabanındaki verileri eklemesine veya silmesine ya da yapılandırma değişiklikleri yapmasına olanak tanır. Bu sorun, 3.1.2 öncesindeki Apache CouchDB sürümlerini etkilemektedir.