LibreOffice имеет функцию, позволяющую документам указывать, что предустановленные макросы могут выполняться при различных событиях скрипта…

LibreOffice имеет функцию, позволяющую документам указывать, что предустановленные макросы могут выполняться при различных событиях скрипта, таких как наведение указателя мыши, открытие документа и т. д. Доступ должен быть ограничен скриптами, находящимися в подкаталогах share/Scripts/python, user/Scripts/python установки LibreOffice. Была добавлена защита для решения CVE-2019-9852, чтобы избежать атаки directory traversal, когда скрипты в произвольных местах файловой системы могли быть выполнены путем использования атаки кодирования URL для обхода шага проверки пути. Однако эту защиту можно было обойти, воспользовавшись недостатком в том, как LibreOffice собирал окончательный URL-адрес скрипта непосредственно из компонентов переданного пути, а не исключительно из санированного вывода шага проверки пути. Эта проблема затрагивает: Document Foundation LibreOffice 6.2 версий до 6.2.7; 6.3 версий до 6.3.1.