CVE-2023-42439
CVE-2023-42439 · GeoNode SSRF Bypass to return internal host data
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
GeoNode is an open source platform that facilitates the creation, sharing, and collaborative use of geospatial data. A SSRF vulnerability exists starting in version 3.2.0, bypassing existing controls on the software. This can allow a user to request internal services for a full read SSRF, returning any data from the internal network. The application is using a whitelist, but the whitelist can be bypassed. The bypass will trick the application that the first host is a whitelisted address, but the browser will use `@` or `%40` as a credential to the host geoserver on port 8080, this will return the data to that host on the response. Version 4.1.3.post1 is the first available version that contains a patch.
CVSS 7.5 · Высокий · EPSS 1,0% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
geonode
- Версии
- >= 3.2.0, <= 4.1.2: Затронуто
Нет опубликованного исправления
geonode PyPI
- Версии
- 3.2.0
- 3.2.1
- 3.2.2
- 3.2.3
- 3.2.3.post1
- 3.2.4
- 3.3.0
- 3.3.1
- 3.3.1.post1
- 3.3.2
- 3.3.2.post1
- 3.3.2.post2
- 3.3.3
- 4.0.0
- 4.0.0.post1
- 4.0.0rc0
- 4.0.0rc1
- 4.0.1
- 4.0.2
- 4.0.3
- 4.1.0
- 4.1.1
- 4.1.2
- 4.1.3
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 3.2.0, < 4.1.3.post1
Обновитесь до 4.1.3.post1
geonode PyPI
- Версии
- 3.2.0
- 3.2.1
- 3.2.2
- 3.2.3
- 3.2.3.post1
- 3.2.4
- 3.3.0
- 3.3.1
- 3.3.1.post1
- 3.3.2
- 3.3.2.post1
- 3.3.2.post2
- 3.3.3
- 4.0.0
- 4.0.0.post1
- 4.0.0rc0
- 4.0.0rc1
- 4.0.1
- 4.0.2
- 4.0.3
- 4.1.0
- 4.1.1
- 4.1.2
- 4.1.3
- 4.1.3.post1
- 4.1.4
- 4.1.5
- 4.2.0
- 4.2.1
- 4.2.2
- 4.2.3
- 4.2.4
- 4.2.5
- 4.3.0
- 4.3.0.post1
- 4.3.1
- 4.4.0
- 4.4.1
- 4.4.2
- 4.4.3
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 3.2.0
Нет опубликованного исправления