There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The OpenRefine fork of the MIT Simile Butterfly server is a modular web application framework. The
    Butterfly framework uses the `java.net.URL` class to refer to (what are expected to be) local resource
    files, like images or templates. This works: "opening a connection" to these URLs opens the local file.
    However, prior to version 1.2.6, if a `file:/` URL is directly given where a relative path (resource name)
    is expected, this is also accepted in some code paths; the app then fetches the file, from a remote
    machine if indicated, and uses it as if it was a trusted part of the app's codebase. This leads to
    multiple weaknesses and potential weaknesses. An attacker that has network access to the application could
    use it to gain access to files, either on the the server's filesystem (path traversal) or shared by nearby
    machines (server-side request forgery with e.g. SMB). An attacker that can lead or redirect a user to a
    crafted URL belonging to the app could cause arbitrary attacker-controlled JavaScript to be loaded in the
    victim's browser (cross-site scripting). If an app is written in such a way that an attacker can influence
    the resource name used for a template, that attacker could cause the app to fetch and execute an attacker-
    controlled template (remote code execution). Version 1.2.6 contains a patch. (CVE-2024-47883)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - MIT Simile Butterfly 伺服器的 OpenRefine 分支是模組化 Web 應用程式架構。Butterfly 架構使用 `java.net.URL` 類別來參照 (預期會是什麼) 本機資源檔案例如影像或範本。這個方法可以開啟連至這些 URL 的連線也會開啟本機檔案。
    不過在 1.2.6版之前如果在預期有相對路徑 (資源名稱) 的位置直接提供 `file:/`URL某些程式碼路徑也會接受此情況然後該應用程式會從遠端電腦 (若有指示) 擷取檔案並當作應用程式程式碼基底的受信任部分來使用。這會導致多個脆弱環節和潛在脆弱環節。擁有應用程式網路存取權的攻擊者可利用它取得檔案的存取權可能位於伺服器檔案系統 (路徑周遊) 或由附近機器共用 (伺服器端偽造 SMB 等要求)。可將使用者引導或重新導向至屬於應用程式的特製 URL 的攻擊者可在受害者的瀏覽器中載入受攻擊者控制的任意 JavaScript (跨網站指令碼)。如果某應用程式的編寫方式使得攻擊者可影響用於範本的資源名稱該攻擊者可使該應用程式擷取並執行攻擊者控制的範本 (遠端程式碼執行)。版本 1.2.6 包含一個修補程式。 (CVE-2024-47883)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MIT Simile Butterfly 服务器的 OpenRefine 分支是一个模块化 Web 应用程序框架。Butterfly 框架使用“java.net.URL”类来引用（预期为）本地资源文件，例如图像或模板。此操作有效：打开与这些 URL 的连接会打开本地文件。
    然而在低于 版 1.2.6的版本中如果在需要相对路径资源名称的地方直接给出 `file:/` URL这在某些代码路径中也被接受然后该应用会从远程计算机如有指示提取该文件并将其作为应用程序代码库的受信任部分使用。这会导致多种弱点和潜在弱点。具有应用程序网络访问权限的攻击者可利用应用程序取得服务器文件系统路径遍历上或附近机器共享服务器端请求伪造如 SMB的文件的访问权限。如果攻击者能将用户引导或重定向至属于 应用程序的特制 URL便可造成将任意攻击者控制的 JavaScript 加载到受害者的浏览器中跨站脚本。如果编写应用程序的方式使攻击者可以影响用于模板的资源名称则该攻击者可导致该应用程序提取并执行攻击者控制的模板远程代码执行。版本 1.2.6 包含修补程序。 (CVE-2024-47883)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MIT Simile Butterfly サーバーの OpenRefine fork は、モジュラー Web アプリケーションフレームワークです。Butterfly フレームワークでは、「java.net.URL」クラスを使用して、画像やテンプレートなどのローカルリソースファイルを参照しています。設定は、これらの URL への接続を開くと、ローカルファイルが開かれるようになります。
    ただし、バージョン 1.2.6より前のバージョンでは、相対パスリソース名が想定される場所で「file:/」URL が直接指定された場合、これは一部のコードパスでも受け入れられていました。アプリはその後、指定された場合はリモートマシンからファイルを取得し、それがアプリのコードベースの信頼できる部分であるかのように使用します。これは、複数の弱点および潜在的な弱点につながります。アプリケーションへのネットワークアクセス権を持つ攻撃者が、これを使用して、サーバーのファイルシステム上のファイルへのアクセス権を取得する可能性があります。たとえば SMB を用いたサーバーサイドリクエストフォージェリなどです。アプリに属する細工された URL にユーザーを誘導またはリダイレクトできる攻撃者が、被害者のブラウザに攻撃者が制御する任意の JavaScript をロードする可能性がありますクロスサイトスクリプティング。攻撃者がテンプレートに使用されるリソース名に影響を与えるような方法でアプリが記述されている場合、その攻撃者はアプリに攻撃者が制御するテンプレートをフェッチさせて、実行させる可能性があります (リモートコード実行)。バージョン 1.2.6 にはパッチが含まれています。CVE-2024-47883

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The OpenRefine fork of the MIT Simile Butterfly server is a modular web application framework. The     Butterfly framework uses the `java.net.URL` class to refer to (what are expected to be) local resource     files, like images or templates. This works: opening a connection to these URLs opens the local file.
    However, prior to version 1.2.6, if a `file:/` URL is directly given where a relative path (resource name)     is expected, this is also accepted in some code paths; the app then fetches the file, from a remote     machine if indicated, and uses it as if it was a trusted part of the app's codebase. This leads to     multiple weaknesses and potential weaknesses. An attacker that has network access to the application could     use it to gain access to files, either on the the server's filesystem (path traversal) or shared by nearby     machines (server-side request forgery with e.g. SMB). An attacker that can lead or redirect a user to a     crafted URL belonging to the app could cause arbitrary attacker-controlled JavaScript to be loaded in the     victim's browser (cross-site scripting). If an app is written in such a way that an attacker can influence     the resource name used for a template, that attacker could cause the app to fetch and execute an attacker-     controlled template (remote code execution). Version 1.2.6 contains a patch. (CVE-2024-47883)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
409620	SCA: security update for org.openrefine.dependencies:butterfly (GHSA-3p8v-w8mr-m3x8)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	critical
409620	SCA: security update for org.openrefine.dependencies:butterfly (GHSA-3p8v-w8mr-m3x8)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	critical
228334	Linux Distros 未修補的弱點：CVE-2024-47883	Nessus	Misc.	3/5/2025	7/25/2026	critical
228334	Linux Distros 未修补的漏洞：CVE-2024-47883	Nessus	Misc.	3/5/2025	7/25/2026	critical
228334	Linux Distros のパッチ未適用の脆弱性: CVE-2024-47883	Nessus	Misc.	3/5/2025	7/25/2026	critical
228334	Linux Distros Unpatched Vulnerability : CVE-2024-47883	Nessus	Misc.	3/5/2025	7/25/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical