Crayfish allows Remote Code Execution via Homarus Authorization header
Impact
Remote code execution may be possible in web-accessible installations of Homarus in certain configurations.
Patches
The issue has been patched in islandora/crayfish:4.1.0
Workarounds
The exploit requires making a request against the Homarus's /convert endpoint; therefore, the ability to exploit is much reduced if the microservice is not directly accessible from the Internet, so: Prevent general access from the Internet from hitting Homarus.
Configure auth in Crayfish to be more strongly required, such that requests with Authorization headers that do not validate are rejected before the problematic CLI interpolation occurs.
References
- XBOW-024-071
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | islandora/crayfish | < 4.1.0 | 4.1.0 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-150, CWE-157- Plataforma
- Composer
- Paquete
islandora/crayfish- Publicada
- 15.01.2025
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-mm6v-68qp-f9fw - CC BY 4.0
Historial de vulnerabilidades: islandora/crayfish
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 01.2025 02.2025
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
Divulgaciones por año
- 2025: 2
- 2026: 0
-
Crayfish allows Remote Code Execution via Homarus Authorization header esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.