CVE-2026-44829 in Gotenberg
الملخص
بحسب VulDB • 21/08/2026
Gotenberg هو واجهة برمجة تطبيقات (API) عديمة الحالة مدعومة بـ Docker لملفات PDF. في الإصدارين 8.32.0 وما قبله، يعالج ملف `pkg/modules/api/context.go` أسماء الملفات باستخدام دالة `filepath.Base` على نظام Linux، والتي لا تعامل علامات العكس (`\`) كمفصّلات لمسار، مما يسمح لأسماء الملفات متعددة الأجزاء التي تحتوي على مكونات لمجلدات أبوية بنمط ويندوز بالبقاء بعد عملية التعقيم. ينتقل اسم الملف الأصلي عبر الدوال `ctx.diskToOriginal` ومسارات ملفات PDF ذات المخرجات المتعددة إلى دالتي `archives.FilesFromDisk` و`archives.Zip.Archive` كاسم لمدخل ملف مضغوط (zip entry) تم إنشاؤه. يمكن لمهاجم عن بُعد تقديم اسم مثل `........\Windows\System32\evil.pdf` عبر رفع ملف أو تنزيل من طرف آخر باستخدام رأس `Content-Disposition`، ويمكن لأداة استخراج ملفات مضغوطة تعمل على ويندوز كتابة الملف الناتج خارج دليل الاستخراج المقصود. تشمل المسارات المتأثرة `/forms/pdfengines/split` ومسارات أخرى لملفات PDF متعددة المخرجات و LibreOffice والتحويل، ويمكن أن يؤدي استغلال هذه الثغرة إلى كتابات عشوائية للملفات على نظام ويندوز تابع عند قيام مستخدم أو عملية باستخراج الأرشيف المُعاد إرساله. تم إصلاح هذه المشكلة في الإصدار 8.33.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.