Vulnerabilidad en OpenRefine (CVE-2024-47880)

OpenRefine es una herramienta gratuita de código abierto para trabajar con datos desordenados. Antes de la versión 3.8.3, el comando `export-rows` se puede utilizar de forma que refleje parte de la solicitud textualmente, con un encabezado Content-Type también tomado de la solicitud. Un atacante podría llevar a un usuario a una página maliciosa que envíe un POST de formulario que contenga código JavaScript incrustado. Este código se incluiría entonces en la respuesta, junto con un encabezado `Content-Type` controlado por el atacante, y por lo tanto potencialmente se ejecutaría en el navegador de la víctima como si fuera parte de OpenRefine. El código proporcionado por el atacante puede hacer todo lo que el usuario puede hacer, incluyendo eliminar proyectos, recuperar contraseñas de bases de datos o ejecutar expresiones Jython o Closure arbitrarias, si esas extensiones también están presentes. El atacante debe conocer un ID de proyecto válido de un proyecto que contenga al menos una fila. La versión 3.8.3 corrige el problema.