PT-2025-26231 · Powsybl · Powsybl
CVSS v4.0
2.7
منخفضة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:U |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PowSyBl الأقدم من 6.7.2
الوصف
تتعلق المشكلة بهجوم كيان خارجي في XML (XXE) وهجوم تزوير الطلب من جانب الخادم (SSRF) في أجزاء معينة من تحليل XML في powsybl-core. وهذا يسمح للمهاجم برفع امتيازاته لقراءة الملفات التي لا يملك إذنًا بالوصول إليها، بما في ذلك الملفات الحساسة الموجودة على النظام. الفئة المعرضة للثغرة هي
com.powsybl.commons.xml.XmlReader، والتي تُعتبر غير موثوقة في حالات الاستخدام التي يمكن فيها للمستخدمين غير الموثوق بهم إرسال ملفات XML الخاصة بهم إلى الطرق المعرضة للثغرة. قد يحدث هذا في تطبيق متعدد المستأجرين يستضيف العديد من المستخدمين المختلفين، الذين قد يكون لكل منهم مستويات امتيازات مختلفة.التوصيات
بالنسبة للإصدارات الأقدم من 6.7.2، قم بالتحديث إلى com.powsybl:powsybl-commons: 6.7.2 أو أعلى لإصلاح المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الفئة
com.powsybl.commons.xml.XmlReader لتقليل مخاطر الاستغلال. تجنب السماح للمستخدمين غير الموثوق بهم باستيراد ملفات CGMES أو XIIDM غير موثوقة عبر الشبكة حتى يتم حل المشكلة.استغلال
إصلاح
LPE
SSRF
XXE
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Powsybl