CVE-2026-49831

Nome do Software Vulnerável e Versões Afetadas DSpace versões anteriores a 7.6.7 DSpace versões 8.0 a 8.3 DSpace versões 9.0 a 9.2

Description Um problema de path traversal existe no script curate dentro do recurso Curation Task. O parâmetro de relatório -r, utilizado para transmitir resultados e status de operações, não restringe a saída a um caminho base específico. Isso permite que um invasor com credenciais de Administrador de Coleção, Comunidade ou Site especifique um caminho de saída gravável pelo usuário do DSpace (geralmente 'tomcat'), podendo levar à sobrescrita de arquivos de configuração ou ao posicionamento de arquivos em locais inesperados, como a pasta de recursos estáticos do webapp Spring boot. Tais ações podem resultar em um ataque de negação de serviço.

Recommendations Atualize o DSpace para a versão 7.6.7, 8.4, 9.3 ou 10.0. Como solução temporária, desative todas as Tarefas de Curadoria (Curation Tasks) comentando cada plugin CurationTask no arquivo curate.cfg.