CVE-2022-31194
高已发布
DSpace JSPUI 提交上传中的路径遍历漏洞
- 已发布
- 2022年8月1日
- 已更新
- 2025年4月23日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
8.2/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:H1.1%
低 · 未来 30 天
- 百分位
- 63.4%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
DSpace 开源软件是一个仓库应用程序，可提供对数字资源的持久访问。dspace-jspui 是 DSpace 的 UI 组件。SubmissionController 和 FileUploadRequest 中的 JSPUI 可续传上传实现存在多个路径遍历攻击漏洞，允许攻击者通过在上传过程中修改某些请求参数，在服务器上 Tomcat/DSpace 用户可写的任意位置创建文件/目录。此路径遍历漏洞只能由具有特殊权限（提交者权限）的用户利用。此漏洞仅影响 JSPUI。建议用户升级。目前没有已知的变通方案。然而，匿名用户或普通用户无法利用此漏洞。用户必须首先至少对一个 Collection 拥有提交者权限，并且能够确定如何修改请求参数以利用该漏洞。
来源
1DSpace 仓库软件的安全补丁，修复了 CVE-2022-31194，这是基于 Java 的数字资产管理平台中的一个漏洞。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。