CVE-2026-44829 in Gotenberg
Zusammenfassung
von VulDB • 21.08.2026
Gotenberg ist eine Docker-basierte zustandslose API für PDF-Dateien. In den Versionen 8.32.0 und früher verwendet die Dateinamenbehandlung in pkg/modules/api/context.go auf Linux `filepath.Base`, das Backslashes nicht als Pfadtrennzeichen behandelt, sodass ein mehrteiliger Dateiname mit Windows-Stil-Vaterkomponenten (Parent Directory Components) die Bereinigung übersteht. Der ursprüngliche Dateiname fließt durch `ctx.diskToOriginal` und die Multi-Output-PDF-Routen in `archives.FilesFromDisk` und `archives.Zip.Archive` als der generierte ZIP-Eintragsname ein. Ein entfernter Angreifer kann einen Namen wie `........\Windows\System32\evil.pdf` über eine Dateiupload oder einen upstream `downloadFrom Content-Disposition`-Header einreichen, und ein Windows-Archivextraktor kann die resultierende Datei außerhalb des beabsichtigten Extraktionsverzeichnisses schreiben. Die betroffenen Pfade umfassen `/forms/pdfengines/split` sowie andere Multi-Output-PDF-, LibreOffice- und Konvertierungsrouten; eine Ausnutzung kann willkürliche Dateischreibungen auf einem nachgelagerten Windows-System verursachen, wenn ein Benutzer oder Prozess das zurückgegebene Archiv extrahiert. Dieses Problem ist in Version 8.33.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.