Vulnerabilidad en el servlet de vocabulario controlado por JSPUI en el software de código abierto Dspace (CVE-2022-31193)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-601
Redireccionamiento de URL a sitio no confiable (Open Redirect)
Fecha de publicación:
01/08/2022
Última modificación:
08/08/2022
Descripción
El software de código abierto DSpace es una aplicación de repositorio que proporciona acceso duradero a los recursos digitales. dspace-jspui es un componente de interfaz de usuario para DSpace. El servlet de vocabulario controlado por JSPUI es vulnerable a un ataque de redireccionamiento abierto, en el que un atacante puede diseñar una URL maliciosa que parezca una URL legítima de DSpace/repositorio. Cuando el objetivo hace clic en esa URL, le es redirigido a un sitio de la elección del atacante. Este problema ha sido parcheado en las versiones 5.11 y 6.4. Se recomienda a usuarios actualizar. No se presentan mitigaciones conocidas para esta vulnerabilidad
Impacto
Puntuación base 3.x
6.10
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:duraspace:dspace:*:*:*:*:*:*:*:* | 4.0 (incluyendo) | 5.10 (incluyendo) |
| cpe:2.3:a:duraspace:dspace:*:*:*:*:*:*:*:* | 6.0 (excluyendo) | 6.4 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página