ixsly/cve-2022-41401Proof-of-concept exploit per CVE-2022-41401, una vulnerabilità di server-side request forgery (SSRF) in OpenRefine <= v3.5.2, che consente l'accesso non autorizzato a risorse interne e la divulgazione di file sensibili.
OpenRefine v<=3.5.2 contiene una vulnerabilità di Server-Side Request Forgery (SSRF), che consente a utenti non autorizzati di sfruttare il sistema, portando potenzialmente a un accesso non autorizzato a risorse interne e alla divulgazione di file sensibili.
La causa principale di questa vulnerabilità risiede nell'inadeguata validazione lato server dell'URL fornito da OpenRefine. Sebbene esista una validazione lato client, il lato server non esegue lo stesso livello di controllo. Di conseguenza, se un utente fornisce inizialmente un URI valido e successivamente lo sostituisce con uno dannoso, il sistema lato server non riesce a rilevare la modifica.
Questa vulnerabilità può essere sfruttata durante il processo di creazione di un nuovo progetto in OpenRefine. In particolare, selezionando l'opzione "Web Addresses (URLs)" per importare un progetto, un malintenzionato può inserire un payload che gli consente di accedere a risorse interne o leggere file sensibili.
