Radda/TG_CVE huggingface dataset:
CVE-CVE-2024-30265 , выявленная вvoila в версиях до 0.2.17, приводит кLocal File Inclusion. Уязвимость обусловлена возможностью доступа неавторизированных пользователей к локальным файлам хоста. Висправлениииз функции инициализации приложенияtornado.web.Application()был удален параметрstatic_path="/", указывающий на корневую директорию файловой системы, .
CVE-CVE-2024-30264 , найденная вTypebot версии 2.23.0, приводит кXSS. Проблема обусловлена возможностью злоумышленника выполнить произвольный JavaScript путем отправки пользователю ссылки на страницу авторизации. Дляисправлениябыла добавлена санитизация параметраredirectPathс помощью функцииsanitizeUrl()из состава библиотеки@braintree/sanitize-url.
CVE-CVE-2024-31215 , выявленная вMobile Security Framework до версии 3.9.7, приводит кSSRF. Уязвимость обусловлена возможностью злоумышленника заставить сервер подключиться к внутренним службам в инфраструктуре организации. Висправлениив функцияхopen_firebase(),  firebase_analysis()была добавлена проверка передаваемого адреса на содержание в нем подстрокиfirebaseio.com.
CVE-CVE-2024-3116 , выявленная вpgAdmin4 до версии 8.5, приводит кRemote Code Execution (RCE). Уязвимость позволяет злоумышленникам выполнять произвольный код на сервереPGAdminчерез API валидации бинарного пути . Висправленииулучшена проверка отклонений бинарного пути. Детальный разбор уязвимости приведен встатье, а Proof-of-Concept поссылке.
CVE-CVE-2024-22423 , обнаруженная вyt-dlp в версиях до 2024.04.09, приводит кOS Command Injection. Проблема заключалась в возможности удаленного выполнения кода через внедрение специальных символов. Висправлениибыла добавлена функцияshell_quote(), с помощью которой происходит экранирование внедряемых специальных символов.
CVE-CVE-2024-24576 , выявленная вRust в версиях до 1.77.2, приводит кRemote Code Execution. Уязвимость обусловлена возможностью злоумышленника выполнять произвольные команды оболочки в ОС Window используяAPI Command, минуя экранирование аргументов, передаваемых в порожденный процесс. Висправлениибыла добавлена функцияappend_bat_arg()для обработки и экранирования получаемых аргументов.
CVE-CVE-2024-31461 , обнаруженная вPlaneв версиях до v0.17-dev, приводит кServer-side Request Forgery. Проблема заключалась в возможности злоумышленника отправлять произвольные запросы с сервера, на котором размещено приложение, что потенциально может привести к несанкционированному доступу к внутренним системам. Висправлениибыла добавлена функцияis_allowed_hostnameдля проверки получаемого доменного имени с "белым" списком разрешенных значений.
CVE-CVE-2024-3098 , выявленная вllama-index в версиях до 0.10.24, приводит кRemote Code Execution. Уязвимость обусловлена возможностью злоумышленника добиться удаленного выполнения кода посредством манипуляций с подклассомstr. Висправлениибыл изменен списокALLOWED_BUILTINS, который содержит в себе разрешенные встроенные объекты, а также добавлен контроль обращения к объектам, которые не входят в него.
CVE-CVE-2024-3400 , обнаруженная в файрволлахPalo Alto в версиях PAN-OS 10.2, 11.0 и 11.1, приводит кOS Command Injection. Проблема заключалась в возможности злоумышленника, не прошедшему аутентификацию, выполнить произвольный код с привилегиями root на брандмауэре. Описание проблемы приведено в официальномsecurity advisory. Встатьеот специалистовUnit42содержится информация об уязвимостиCVE-2024-3400и данные об успешных атаках.
CVE-CVE-2024-3571 , обнаруженная вlangchain в версиях до 0.0.353, приводит кLocal File Inclusion (LFI). Проблема заключается в возможности злоумышленника обращаться к файлам ОС напрямую с правами чтения и записи. Висправлениибыл изменен метод_get_full_path()путем добавления проверки получаемого значения пути со значением корневого каталога (self.root_path).
CVE-CVE-2024-27306 , обнаруженная вaiohttp в версиях до 3.9.4, приводит кCross-SiteScripting (XSS). Проблема заключалась в возможности злоумышленника загружать файлы с произвольными именами в статический каталог. Далее имена файлов использовались при генерации html-кода index страницы.  Висправлениибыла скорректирована функция_directory_as_html()путем экранирования специальных символов в именах файлов с помощью методовhtml_escapeи_quote_path.
CVE-CVE-2024-2912 , обнаруженная вBentoML в версиях до 1.2.5, приводит кInsecure Deserialization. Проблема заключается в возможности удаленного выполнения кода с помощью специально сформированного POST-запроса cо значением"Content-Type": "application/vnd.bentoml+pickle"на любую допустимую конечную точку. Висправлениибыла добавлена проверка на тип"application/vnd.bentoml+pickle"и формирование исключения при положительном результате.
CVE-CVE-2024-32472 , обнаруженная вexcalidraw в версиях до 0.17.6, приводит кCross-Site Scripting (XSS). Проблема заключалась в возможности злоумышленника запускать произвольныйJavaScriptв контексте домена, на котором размещен редактор. Одной из причин проблемы является рендер недоверенных данных для фреймаsrcdoc. Висправлениибыла добавлена функция экранированияsanitizeHTMLAttribute(), которая используется при формировании ссылки для фреймаsrcdoc- функцияcreateSrcDoc().
CVE-CVE-2024-20356 , обнаруженная вCisco Integrated Management Controller, приводит кCommand Injection.Проблема заключалась в возможности злоумышленника, прошедшего проверку подлинности, с привилегиями уровня администратора выполнить атаки путем внедрения команд в уязвимую систему и повысить свои привилегии до уровня root. Описание проблемы приведено в официальномsecurity advisory. Встатьеот специалистовNettitudeсодержится информация об уязвимостиCVE-2024-20356и данные об успешных атаках.
CVE-CVE-2024-32876 , обнаруженная в Android приложенииNewPipe в версиях до 0.27.0, приводит кDeserialization of Untrusted Data. Проблема заключалась в возможности удаленного выполнения кода на устройствах с помощью резервной копии, содержащейpayload. Висправлениибыло добавлено ограничение классов, которые могут быть десериализованы при обработке потоковых объектовJava, добавив "белый" список  с классами (CLASS_WHITELIST), которые не могут привести к выполнению произвольного кода.
CVE-CVE-2024-32866 , выявленная в пакете@conform-to/... в версиях до 1.1.1, приводит кPrototype Pollution. Уязвимость обусловлена возможностью злоумышленника инициировать "загрязнения" прототипа, передав "загрязненные" данные в функцииparseWith...(). Висправлениибыла добавлена проверка  наличия поля у объекта (черезObject.hasOwn()) в функцияхsetValue()иgetValue().
CVE-CVE-2024-32461 , обнаруженная в системе мониторингаLibreNMS в версии 24.3.0, приводит кSQL Injection. Проблема заключалась в возможности пользователя с глобальными привилегиями выполнить SQL-запрос черезpackageпараметр. Висправлениибыло скорректировано формирований SQL-запроса с  использованием параметризации.
CVE-CVE-2024-32651 ,обнаруженная в сервисеchangedetection версии до 0.45.21, приводит кServer-Side Template Injection (SSTI). Причиной уязвимости является возможность влияния нарушителя на шаблон перед его рендером, что позволяет выполнять навязанный нарушителем код. Висправлениистали  выполнять рендер шаблона в "песочнице" через использование классаjinja2.sandbox.ImmutableSandboxedEnvironment. вместо небезопасного классаjinja2.Environment.
CVE-CVE-2024-4040 , обнаруженная вCrushFTP в версиях до 10.7.1 и 11.1.0, приводит кRemote Code Execution (RCE). Проблема заключалась в возможности неаутентифицированным удаленным злоумышленникам читать файлы из файловой системы за пределами песочницы VFS, обходить аутентификацию для получения административного доступа и выполнять удаленное выполнение кода на сервере. Описание проблемы, а также рекомендации по обновлению в официальномsecurity advisory. Встатьеот специалистовRapid7содержится информация об уязвимостиCVE-2024-4040и данные об успешных атаках.
CVE-CVE-2024-32962 , обнаруженная вxml-crypto в версиях с 4.0.0 до 6.0.0, приводит кImproper Verification of Cryptographic Signature. Проблема заключалась в отсутствии проверок для сертификата, которым подписанXML-документ, и использовании по умолчанию сертификата  из элемента<KeyInfo/>. Злоумышленник может подписатьXML-документподписью, созданной с использованием своего закрытого ключа и прикрепить сертификат к элементу<KeyInfo/>,  что позволит ему успешно пройти проверку подлинности.  Висправлениибыло отключено  использование по умолчанию функцииgetCertFromKeyInfo(), которая извлекает сертификат из элемента<KeyInfo/>.
CVE-CVE-2024-30251 , выявленная в фреймворкеaiohttp в версиях до 3.9.4, приводит кDenial of Service (DoS). Уязвимость обусловлена возможностью атакующего отправить специально созданный запросPOST(multipart/form-data) и когда серверaiohttpобработает его, сервер войдет в бесконечный цикл и не сможет обрабатывать дальнейшие запросы. Висправлениибыла добавлена проверка достижения конца данных (функцияat_eof()) и формирование признака завершения обработки данныхself._at_eof = True.
CVE-CVE-2024-34073 , обнаруженная вsagemaker-python-sdk  в версиях до 2.214.3, приводит кOS Command injection. Проблема заключалась в возможности удаленного выполнение кода путем его внедрения в параметрrequirements_path. Висправлениибыла изменена функцияcapture_dependencies(),в которой команда стала формироваться с использованием списка, а для ее исполнения стали использовать командуsubprocess.run()с флагамиcheck=Trueиcapture_output=True.
CVE-CVE-2024-32890 , выявленная вspeedtest в версиях с 5.2.5 до 5.3.0, приводит кCross-Site Scripting (XSS). Уязвимость обусловлена возможностью внедренияjavascriptкода при взаимодействии с JSON API. Висправлениибыло исправлена функция возврата результатов путем добавления заголовкаContent-Typeсо значением"application/json; charset=utf-8"
CVE-CVE-2024-27956 , обнаруженная вплагине WP‑Automatic для WordPress в версиях до 3.9.2, приводит кSQL-injection. Проблема заключалась в возможности любого пользователя корректировать SQL-запрос. Описание проблемы, руководство по обновлению, признаки компрометаций и рекомендации смягчающих действий отражены вблокеWPScan. Встатьеот специалистовPatchStackсодержится информация об уязвимостиCVE-2024-27956и данные об успешных атаках.
CVE-CVE-2024-32982 , обнаруженная вфреймворке litestar в версиях от 2.0.0 до 2.8.3, приводит кPath Traversal. Проблема заключалась в возможности злоумышленника использовать недостатки обхода пути, обеспечивая несанкционированный доступ к конфиденциальным файлам за пределами назначенных каталогов. Висправлениибыла добавлена нормализация получаемых путей с помощьюos.path.normpath()и последующая проверка с установленным статическим значением директории.
CVE-CVE-2024-34347 , выявленная вhoppscotch в версиях от 0.5.0 до 0.8.0, приводит кCommand Injection. Уязвимость обусловлена возможностью злоумышленника использовать открытые ссылки на объект, чтобы выйти из песочницы и выполнить произвольные системные команды. Висправлениибыла добавлена поддержка библиотекиisolated-vm, которая позволяет создавать более защищенные изолированные среды для выполнения скриптов.
CVE-CVE-2024-32980 , обнаруженная вSpin в версиях до 2.4.3, приводит кExternally Controlled Reference to a Resource in Another Sphere. Проблема заключалась в возможности злоумышленника влиять на формирование URL-адреса запроса через заголовокHostвходящегоhttp-запроса. Висправлениибыло добавлена скорректирована функцияset_req_uri(), в которой исключили формирование URL-адреса на основеHostзаголовка.
CVE-CVE-2024-29889 , выявленная вglpi в версии 10.0.10, приводит кSQL Injection. Уязвимость обусловлена возможностью аутентифицированного пользователя воспользоваться уязвимостью SQL-инъекции в функциональной возможности поиска, чтобы изменить данные учетной записи другого пользователя и получить над ними контроль. Висправлениибыла добавлена санитизация значений с помощью функцииSanitizer::sanitize().
CVE-CVE-2024-34351 , обнаруженная вNextJS в версии с 13.4 до 14.1.1, приводит кServer-Side Request Forgery (SSRF). Проблема заключалась в возможности злоумышленника перенаправлять запросы на стороне сервера на навязанные URL-адреса. Висправлениибыл изменен порядок определения адреса хоста, в приоритете стало использоваться значение из настроек среды окружения. Описание проблемы, руководство по обновлению отражены вsecurity advisory. Встатьеот специалистовAssetnoteсодержится информация об уязвимостиCVE-2024-34351.
CVE-CVE-2024-32964 , обнаруженная вlobe-chat в версиях до 0.150.5, приводит кServer-Side Request Forgery(SSRF). Проблема заключалась в возможности злоумышленника создавать вредоносные запросы, вызывающиеSSRFбез входа в систему. Данная уязвимость позволяла злоумышленнику взаимодействовать с сервисами внутренней сети. Висправлениибыла добавлена проверка получаемого адреса на принадлежность к адресам внутренней сети с помощью методаisPrivate(...)пакетаnode-ip.
CVE-CVE-2024-32002 , выявленная вgit в версии 2.45.0, приводит кRemote Code Execution(RCE). Уязвимость обусловлена возможностью злоумышленника создавать репозитории с подмодулями таким образом, чтобы использовать ошибку вGit, из-за которой его можно обманом заставить записывать файлы не в рабочее дерево подмодуля, а в.git/каталог. Висправлениибыли изменены функцииclone_submodule()иdir_contains_only_dotgit()путем добавления проверки существования и отсутствия каталога подмодуля, а также наличия в папке назначения только директории или файла.git.
CVE-CVE-2024-34359 , обнаруженная вllama_cpp_python в версиях с 0.2.30 до 0.2.71, приводит кServer-Side Template Injection (SSTI). Проблема заключалась в возможности злоумышленника внедрения в шаблон на стороне сервера через полезную нагрузку поляMetadataпри загрузке файлов с расширением.gguf. Висправлениибыло изменено окружение для обработки шаблонов с использованием методаImmutableSandboxedEnvironment().
CVE-CVE-2024-34082 , выявленная вGrav в версиях до 1.7.46, приводит кArbitrary File Reading. Уязвимость обусловлена возможностью злоумышленника с низким уровнем привилегий и правами на редактирование страниц читать любые файлы сервера, используя синтаксисTwig. Висправлениифункцияread_file(), которая используется для чтения файлов, была внесена в "черный" список$bad_twig.
CVE-CVE-2024-22120 , обнаруженная вZabbix c версии 6.0.0 по 6.0.27, приводит кSQL-Injection. Проблема заключалась в возможности злоумышленника влиять на SQL-запрос через параметрclientip, что могло привести к повышению привилегии от пользователя до администратора. Подробная информация обCVE-2024-22120с примерами реализации различных векторов атак, рекомендациями по обновлению содержится в официальномSecurity Advisory.
CVE-CVE-2024-34710 , обнаруженная вwiki.js в версиях до 2.5.302, приводит кCross-Site Scripting(XSS). Проблема заключалась в возможности злоумышленника внедрить вредоносный JavaScript код, который будет выполняться на стороне клиента. Висправлениивыражения в фигурных скобках ({}) оборачивается тегом<p>и c атрибутомv-pre, который дляVueустанавливает запрет компиляции выражения.
CVE-CVE-2024-34071 , выявленная вUmbraco-CMS в версиях от 8.18.5 до 8.18.14, приводит кOpen redirect. Уязвимость обусловлена возможностью злоумышленника, прошедшего проверку подлинности, использовать уязвимый эндпоинт для открытого перенаправления. Висправлениибыла добавлена функцияIsWellFormedWebPath(), которая определяет, правильно ли сформирован предоставленный путь в соответствии с указанным в аргументахUriKind.Relative.
CVE-CVE-2024-29651 , обнаруженная вapidevtools/json-schema-ref-parser в версиях 11.0.0 и 11.1.0, приводит кPrototype Pollution. Проблема заключалась в возможности злоумышленника манипулировать прототипом объекта и влиять на поведение объектов, которые были унаследованы от этого прототипа. Висправлениибыла добавлена фильтрация данных, которые проходят слияние, путем применения "черного" списка c недопустимыми значениями"__proto__", "constructor", "prototype".
CVE-CVE-2024-35220 , выявленная вfastify/session в версиях до 10.8.0, приводит кIdentification and Authentication Failures. Уязвимость обусловлена возможностью злоумышленника использовать устаревшие файлы cookie для доступа к сеансам с истекшим сроком действия. Висправленииввели дополнительное полеoriginalExpiresи его проверку на превышение относительно текущей даты, по результатам которого производится сброс сессии.
CVE-CVE-2024-21683 , обнаруженная вConfluence Data Center and Server в версии 8.9.0, приводит кRemote Code Execution (RCE). Проблема заключалась в возможности аутентифицируемого злоумышленника выполнить произвольный код. Подробная информация оCVE-2024-21683, затронутых версиях, рекомендациях по обновлениям содержится в официальномSecurity Advisory.
CVE-CVE-2024-35219 , обнаруженная вopenapi-generator в версиях до 7.5.0, приводит кPath Traversal. Проблема заключалась в возможности злоумышленника через настройкуoutputFolderчитать и удалять файлы, которые находятся на сервере. Висправленииразработчики исключили использование опцииoutputFolderдля построения пути к каталогу.
CVE-CVE-2024-35226 , выявленная вшаблонизаторе Smarty в версиях 4.5.3, приводит кCode Injection. Уязвимость обусловлена возможностью злоумышленника внедрить в шаблон исполняемый PHP код через тегextends. Висправлениидля тегаextendбыло удалено использование функцииcompileInclude(), обеспечивающую вставку и исполнение PHP кода.
CVE-CVE-2024-36109 , выявленная вCocalc в версиях до коммита 419862a9c9879c, приводит кCross-Site Scripting (XSS). Проблема заключалась в возможности злоумышленника внедритьJavaScriptкод с помощью тегов<script>при рендеринге формата Markdown. Висправлениитег<script>был исключен из "белового" списка и была удалена его обработка при рендеринге скриптов библиотеки mathjax.
CVE-CVE-2024-36039 , выявленная вбиблиотеке PyMySql в версиях до 1.1.1, приводит кSQL-injection. Уязвимость обусловлена возможностью злоумышленника выполнить произвольные SQL запросы при обращении к базе, внедряя полезную нагрузку в наименования ключей словаря. Висправлениибыла убрана поддержка обработки данных типаDict.
CVE-CVE-2024-27348 , обнаруженная вApache HugeGraph-Server в версиях с 1.0.0 до 1.3.0, приводит кRemote Code Execution (RCE). Проблема заключалась в возможности злоумышленника удаленно выполнять код на сервере, используя недостаток обработки пользовательского ввода в интерфейсеGremlin. Информация об уязвимости, уязвимых версиях, рекомендациях по обновлению и возможных превентивных мерах находится вSecurity Advisory.
CVE-CVE-2024-36399 , обнаруженная вKanboard в версиях до 1.2.36, приводит кInsecure Direct Object References (IDOR). Проблема заключалась в возможности  использоватьidпроекта из входящего запроса. Висправлениибыла добавлена проверкаCSRF-токенови убрана возможность напрямую использовать параметрproject_idиз запроса при добавлении пользователя или группы.
CVE-CVE-2024-5585 , выявленная вPHP в версиях от 8.1.* до 8.1.29, приводит кOS Command Injection. Уязвимость обусловлена возможностью злоумышленника в случае контроля аргументов функцииproc_open()внедрить произвольные команды ОС Windows. Такое поведение возникает при использовании в конце имени скрипта пробела для аргумента функцииproc_open(), что позволяет обойти встроенный механизм экранирования.  Висправлениибыли доработаны методы преобразования путей с помощью внедрения функцийGetLongPathNameW()иGetFullPathNameW().
CVE-CVE-2024-32464 , обнаруженная вRuby on rails в версиях с 7.1.0 до7.1.3.4, приводит кCross-Site Scripting (XSS). Проблема заключалась в возможности злоумышленника внедрить полезную нагрузку в экземплярыActionText::Attachable::ContentAttachment, включенные в тегиrich_text_area. Висправлениибыла добавлена санитизация экземпляров с помощью функцииsanitize_content_attachment(), которая позволяет фильтровать теги и атрибуты с помощьюsanitizer_allowed_tagsиsanitizer_allowed_attributes.
CVE-CVE-2024-36361 , выявленная вшаблонизаторе pug в версиях c 3.0.2, приводит кCode Injection. Уязвимость обусловлена возможностью злоумышленника внедрить исполняемый код в название шаблона, который нужно использовать. Висправлениибыла внедрена проверка передаваемого значенияtemplateNameчерез контроль по регулярному выражению^[0-9a-zA-Z\-\_]+?$.
CVE-CVE-2024-4577 , обнаруженная вPHP в версиях с 8.1 до 8.1.29, приводит кRemote Code Execution (RCE). Проблема заключалась в возможности вызова исполняемого модуляphp.exec  аргументами из HTTP запроса в CGI-режиме. Уязвимость обусловлена реализацией в Windows возможности "Best-Fit mapping" при кодировании символов, что позволяет обойти экранирование. Информация об уязвимости, уязвимых версиях, рекомендациях по обновлению находится вSecurity Advisory. Встатьеот специалистов команды DevCore подробно расписана информация оCVE-2024-4577.
CVE-CVE-2024-37304 , обнаруженная вNuGet Gallery в версиях до v2024.05.28, приводит кCross-Site Scripting (XSS). Проблема заключалась в возможности злоумышленника внедрить скрипт через автоссылки в формате Markdown (например,<javascript:alert(1)>). Висправлениив функциюGetHtmlFromMarkdownMarkdig()была добавлена санитизация, получаемого html-кода, с использованием регулярного выражения"<a href=([\"\'])javascript:.*?\\1 rel=([\"'])noopener noreferrer nofollow\\1>".
CVE-CVE-2024-0520 , обнаруженная вMLflow в версиях до 2.9.0, приводит кArbitrary File Writing. Проблема заключалась в возможности злоумышленника  внедрить полезную нагрузку в набор данных, который импортируется, и сохранить его в произвольное место в файловой системе. Висправлениив функцииload()был добавлен контроль значения из заголовкаhttp-запроса"Content-Disposition"на соответствие имени файла, с использованием функцииos.path.basename().
CVE-CVE-2024-35225 , выявленная вjupyter_server_proxy в версиях с 3.0.0 до 3.2.4 и 4.2.0, приводит кCross-Site Scripting (XSS). Уязвимость позволяет злоумышленнику использовать значениеhostиз состава path/proxy/<host>для инъекции скрипта в состав формируемогоhtml-кодав ответе. Висправлениипри обработки некорректных значенийhostответ, содержащий значениеhost, формируется с использованием функцииweb.HTTPError(), которая отображает сообщение об ошибке только в режиме отладки.
CVE-CVE-2024-37301 , обнаруженная в сервисеDocument Merge Service до версии 6.5.2, приводит кServer-Side Template Injection (SSTI). Проблема заключалась в возможности злоумышленника внедрения в шаблон на стороне сервера исполняемого кода, который выполниться при рендере шаблона. Висправлениибыло изменено окружение для обработки шаблонов (функцияSandboxedEnvironment()), которое перехватывает и запрещает опасное поведение в процессе рендера шаблона.
CVE-CVE-2024-35241 , обнаруженная вComposer в версиях с 2.0 до 2.2.24, приводит кCommand injection. Проблема заключалась в возможности злоумышленника внедрить исполняемые системные команды в название веток репозитория, которые исполнятся на удаленной стороне при работе с пакетами, установленными из этого репозитория через git, с помощью командstatus,reinstallиremove. Висправлениибыл изменен процесс формирования команды, которая поступает в функциюexecute(), с помощью функцииProcessExecutor::escape().
CVE-CVE-2024-37896 , обнаруженная вGin-vue-admin в версиях до 2.6.6, приводит кSQL Injection. Проблема заключалась в возможности злоумышленника внедрить произвольный SQL код в параметр http-запросаorderпри обращении к эндпоинту/api/sysExportTemplate/exportExcel. Висправлениибыли добавлены проверки на корректность значения параметраorder, перед его использованием в SQL-запросе.
CVE-CVE-2024-38356 , обнаруженная вTinyMCE в версиях до 5.11.0, приводит кCross-Site Scripting(XSS). Проблема заключалась в возможности злоумышленника внедрить вредоносный код в специально созданные HTML-атрибуты, которые могут быть выполнены при извлечении содержимого из редактора. Висправлениибыла добавлена функцияisValidContent(), которая используется для проверки переменнойcontent, содержащей пользовательские данные, с помощью массива регулярных выраженийnonEditableRegExps.
CVE-CVE-2024-36116 , обнаруженная вReposilite в версиях до 3.3.0, приводит кPath Traversal. Проблема заключалась в возможности внедрить полезную нагрузку в название файла внутри загружаемого архиваJavadoc, которое в последующем без нормализации поступает в функциюPaths.get(),  что позволяет создать произвольный файл. Висправлениибыл изменен алгоритм обработки загружаемых архивов, путем преобразования имен файлов внутри архива в пути, которые в дальнейшем проходят проверку принадлежности относительно родительской директорииjavadocUnpackPath.