PT-2022-20602 · Dspace · Dspace
Johannes Moritz
·
Publicado
2022-08-01
·
Atualizado
2022-08-08
·
CVE-2022-31193
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões do DSpace anteriores à 5.11
Versões do DSpace anteriores à 6.4
Descrição
O servlet de vocabulário controlado JSPUI no DSpace está vulnerável a um ataque de redirecionamento aberto. Um invasor pode criar uma URL maliciosa que se pareça com uma URL legítima do DSpace/repositório, a qual redireciona o alvo para um site de sua escolha quando clicada. Esta vulnerabilidade não afeta o XMLUI nem as versões 7.x.
Recomendações
Para versões do DSpace 5.x: atualize para a versão 5.11 ou aplique o arquivo de patch disponível em https://github.com/DSpace/DSpace/commit/5f72424a478f59061dcc516b866dcc687bc3f9de.patch e siga as instruções para aplicar o patch manualmente.
Para versões do DSpace 6.x: atualize para a versão 6.4 ou aplique o arquivo de patch disponível em https://github.com/DSpace/DSpace/commit/f7758457b7ec3489d525e39aa753cc70809d9ad9.patch e siga as instruções para aplicar o patch manualmente.
Em geral, se uma atualização imediata não for possível, recomenda-se aplicar manualmente os patches fornecidos.
Exploit
Correção
Open Redirect
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Dspace