CVE-2024-47883

MIT Simile Butterfly sunucusunun OpenRefine çatallaması (fork), modüler bir web uygulaması çerçevesidir. Butterfly çerçevesi, görüntüler veya şablonlar gibi yerel kaynak dosyalarına (olduğu varsayılan) atıfta bulunmak için `java.net.URL` sınıfını kullanır. Bu işlem şu şekilde çalışır: bu URL'lere "bağlantı açmak", yerel dosyayı açar. Ancak, sürüm 1.2.6 öncesinde, göreceli bir yolun (kaynak adı) beklendiği yere doğrudan bir `file:/` URL'si verilirse, bu durum bazı kod yollarında kabul edilir; uygulama daha sonra belirtilmişse uzak bir makineden dosyayı getirir ve onu uygulamanın kod tabanının güvenilir bir parçasıymış gibi kullanır. Bu durum birden fazla zafiyete ve potansiyel zafiyetlere yol açar. Uygulamaya ağ erişimi olan bir saldırgan, bunu ya sunucunun dosya sistemindeki dosyalara erişmek (path traversal) ya da yakındaki makineler tarafından paylaşılan dosyalara erişmek (örneğin SMB ile server-side request forgery) için kullanabilir. Bir kullanıcıyı uygulamaya ait hazırlanmış bir URL'ye yönlendirebilen bir saldırgan, kurbanın tarayıcısında saldırgan tarafından kontrol edilen rastgele JavaScript kodlarının yüklenmesine neden olabilir (cross-site scripting). Eğer bir uygulama, bir saldırganın şablon için kullanılan kaynak adını etkileyebileceği şekilde yazılmışsa, söz konusu saldırgan uygulamanın saldırgan kontrollü bir şablonu getirmesine ve yürütmesine neden olabilir (remote code execution). Sürüm 1.2.6 bir yama içermektedir.