OpenRefine versão 3.8.2

O problema diz respeito à exposição de chaves de autenticação da API do Google, especificamente o client id e o client secret, nas versões do OpenRefine. Essas chaves podem ser extraídas de artefatos lançados, como o arquivo openrefine-gdata.jar no diretório openrefine-3.8.2/webapp/extensions/gdata/module/MOD-INF/lib. As chaves estão codificadas em Base64 no arquivo GoogleAPIExtension.java e podem ser decodificadas para obter as credenciais. Essas credenciais podem ser usadas por outros aplicativos para solicitar acesso a contas do Google, fingindo ser o OpenRefine, embora isso também exija acesso a tokens de acesso do usuário, o que esta vulnerabilidade não expõe por si só.

Para a versão 3.8.2 do OpenRefine, as credenciais incluídas devem ser revogadas.

Como solução temporária, os usuários devem revogar o acesso à sua conta do Google caso a tenham conectado ao OpenRefine.