جزئیات آسیب‌پذیری
CVE-2021-41277
بهره‌برداری فعالGeoJSON URL validation can expose server files and environment variables to unauthorized users
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 10.0بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| metabase | metabase | < 0.40.5 | CVEProject cvelistV5 (CNA) |
| metabase | metabase | >= 1.0.0, < 1.40.5 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/metabase/metabase/security/advisories/GHSA-w73v-6p7p-fpfr x_refsource_CONFIRM
- https://github.com/metabase/metabase/commit/042a36e49574c749f944e19cf80360fd3dc322f0 x_refsource_MISC
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-41277 government-resource
اطلاعات
- تاریخ انتشار
- ۱۴۰۰/۰۸/۲۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۱۵
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- GitHub_M
- اولویت کلون
- به‌زودی
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۳/۰۸/۲۲
- مهلت رفع
- ۱۴۰۳/۰۹/۱۳
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
ارزیابی SSVC (CISA)
- Automatable
- yes
- Exploitation
- active
- Technical Impact
- total
ضعف‌ها (CWE)
- CWE-200Exposure of Sensitive Information to an Unauthorized Actor