CVE-2025-62724
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Open OnDemand to portal HPC typu open source. Przed wersjami 4.0.8 i 3.1.16 użytkownicy mogą przeprowadzić atak Time of Check to Time of Use (TOCTOU) podczas pobierania plików zip, aby uzyskać dostęp do plików spoza OOD_ALLOWLIST. Dostęp do plików nadal ograniczają uprawnienia UNIX.
Ocena ryzyka
Użytkownik może obejść listę dozwolonych plików i uzyskać dostęp do plików poza OOD_ALLOWLIST, choć nadal chronią je uprawnienia UNIX. Ryzyko dotyczy witryn korzystających z list dozwolonych w przeglądarce plików OOD.
Rekomendacja
Zaktualizuj Open OnDemand do wersji 4.0.8 lub 3.1.16 (lub nowszej). Zweryfikuj uprawnienia UNIX plików udostępnianych przez portal.
Inne podatności w Open OnDemand
Zobacz wszystkie- CVE-2026-44371Średnie
Open OnDemand (portal HPC) w wersjach przed 4.0.11, 4.1.5 i 4.2.2 pozwala na wykonanie JavaScriptu w przeglądarce plików za pomocą specjalnie spreparowanych nazw plików. Podatność naprawiono w wersjach 4.0.11, 4.1.5 i 4.2.2.
- CVE-2025-64185Średnie
Open OnDemand, portal HPC, w wersjach przed 4.0.8 i 3.1.16 tworzy w katalogu GEM_PATH lokalizacje z prawami zapisu dla wszystkich użytkowników, co może pozwolić na nieautoryzowane modyfikacje.
Oryginalny opis (angielski, źródło NVD)
Open OnDemand is an open-source HPC portal. Prior to versions 4.0.8 and 3.1.16, users can craft a "Time of Check to Time of Use" (TOCTOU) attack when downloading zip files to access files outside of the OOD_ALLOWLIST. This vulnerability impacts sites that use the file browser allowlists in all current versions of OOD. However, files accessed are still protected by the UNIX permissions. Open OnDemand versions 4.0.8 and 3.1.16 have been patched for this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS