CVE-2026-46347 in goobi-viewer-core
Zusammenfassung
von VulDB • 23.10.2026
Der Goobi Viewer ist eine Webanwendung, die es ermöglicht, digitalisierte Materialien in einem Webbrowser anzuzeigen. Vor Version 26.05 generierte die Anwendung beim Aufrufen eines Links zum Zurücksetzen des Passworts ein Ersatzpasswort auf vorhersehbare Weise und sandte dieses per E-Mail an den Kontoinhaber. Die unzureichende Entropie ermöglicht es einem Angreifer, das Passwort durch Brute-Force zu knacken, der die serverseitige Generierungszeit approximieren kann. Eine Ausnutzung dieser Schwachstelle isoliert erfordert, dass das Opfer selbst einen Zurücksetzvorgang ausgelöst hat und der Angreifer die Serverzeit aus Netzwerk- oder E-Mail-Metadaten ableiten kann. Dieses Problem wurde in Version 26.05 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.