ixsly/cve-2022-41401Proof-of-Concept-Exploit für CVE-2022-41401, eine Server-Side-Request-Forgery (SSRF)-Sicherheitslücke in OpenRefine <= v3.5.2, die unbefugten Zugriff auf interne Ressourcen und die Offenlegung sensibler Dateien ermöglicht.
OpenRefine v<=3.5.2 enthält eine Server-Side Request Forgery (SSRF) Sicherheitslücke, die es unbefugten Benutzern ermöglicht, das System auszunutzen, was möglicherweise zu unbefugtem Zugriff auf interne Ressourcen und zur Offenlegung sensibler Dateien führt.
Die Ursache dieser Sicherheitslücke liegt in der unzureichenden serverseitigen Validierung der bereitgestellten URL durch OpenRefine. Während eine clientseitige Validierung vorhanden ist, führt der Server nicht die gleiche Prüfung durch. Wenn ein Benutzer zunächst eine gültige URI angibt und diese später durch eine bösartige ersetzt, erkennt das serverseitige System die Änderung nicht.
Diese Sicherheitslücke kann beim Erstellen eines neuen Projekts in OpenRefine ausgenutzt werden. Insbesondere durch die Auswahl der Option zum Importieren eines Projekts von Webadressen-URLs kann ein Angreifer eine Nutzlast einfügen, die den Zugriff auf interne Ressourcen oder das Lesen sensibler Dateien ermöglicht.
