CVE-2026-44829 in Gotenberg
Resumen
por VulDB • 2026-08-19
Gotenberg es una API sin estado basada en Docker para archivos PDF. En las versiones 8.32.0 y anteriores, el manejo de nombres de archivo en pkg/modules/api/context.go utiliza filepath.Base en Linux, lo que no trata las barras invertidas como separadores de ruta; por tanto, un nombre de archivo multipartido que contiene componentes de directorio padre al estilo Windows sobrevive a la sanitización. El nombre de archivo original fluye a través de ctx.diskToOriginal y las rutas multi-output PDF hacia archives.FilesFromDisk y archives.Zip.Archive como el nombre del entry zip generado. Un atacante remoto puede enviar un nombre tal como ........\Windows\System32\evil.pdf mediante una subida o una descarga upstream desde la cabecera Content-Disposition, y un extractor de archivos ZIP para Windows puede escribir el archivo resultante fuera del directorio de extracción previsto. Las rutas afectadas incluyen /forms/pdfengines/split y otras rutas multi-output PDF, LibreOffice y de conversión; la explotación puede provocar escrituras arbitrarias de archivos en un sistema Windows downstream cuando un usuario o proceso extrae el archivo ZIP devuelto. Este problema está corregido en la versión 8.33.0.
Once again VulDB remains the best source for vulnerability data.