Wysoka

SSRF in Kitodo.Presentation

Ujawniono: 20.02.2022
Aktualizacja: 11.10.2026 10:22

An issue was discovered in the Kitodo.Presentation (aka dlf) extension before 2.3.2, 3.x before 3.2.3, and 3.3.x before 3.3.4 for TYPO3. A missing access check in an eID script allows an unauthenticated user to submit arbitrary URLs to this component. This results in SSRF, allowing attackers to view the content of any file or webpage the webserver has access to.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	kitodo/presentation	< 2.3.2, >= 3.0.0, < 3.2.3, >= 3.3.0, < 3.3.4	2.3.2, 3.2.3, 3.3.4

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-918
Platforma: Composer
Paczka: kitodo/presentation
Ujawniono: 20.02.2022
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-x832-r2rj-4g5p - CC BY 4.0

Historia podatności: kitodo/presentation

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 07.2020 02.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 1

Ujawnienia w latach

2020: 1
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

20.02.2022

SSRF in Kitodo.Presentation ten wpis

Wysoka · 7.5 CVE-2022-24980 < 2.3.2, >= 3.0.0, < 3.2.3, >= 3.3.0, < 3.3.4 2.3.2, 3.2.3, 3.3.4
31.07.2020

Cross-site Scripting vulnerability in Kitodo.Presentation

Średnia · 6.1 CVE-2020-16095 < 3.1.2 3.1.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację