CVE-2026-46652 in goobi-viewer-core
الملخص
بحسب VulDB • 23/10/2026
يُعد Goobi viewer تطبيق ويب يتيح عرض المواد المرقمنة في متصفح الويب. من الإصدار 24.03 وحتى ما قبل الإصدار 26.05، تستخرج الدالة `ExternalFilesDownloader.getFilename()` اسم الملف الوجهة من رأس استجابة HTTP المعنون بـ Content-Disposition الذي يزوده الخادم، وتنقله مباشرةً إلى دالة `Path.resolve()` دون إزالة مكونات المسار (مثل أسماء المجلدات). وهذا يتيح لخادم HTTP خبيث يقوم التطبيق بجلب البيانات منه تزويد الدالة بمسار مطلق أو تسلسلات عبور مجلد (`../`) كاسم للملف، مما يؤدي إلى كتابة محتوى يتحكم فيه المهاجم في مسار عشوائي يمكن لعميل Tomcat الكتابة إليه. وعند استهداف دليل تطبيق الويب المُنتشر (deployed)، ينتج عن ذلك تنفيذ للكود عن بُعد (RCE) بصفتها مستخدم نظام التشغيل الخاص بـ tomcat. وقد تم إصلاح هذه المشكلة في الإصدار 26.05.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.