CVE-2026-46652 in goobi-viewer-core
Resumen
por VulDB • 2026-10-23
El visor Goobi es una aplicación web que permite mostrar material digitalizado en un navegador web. Desde la versión 24.03 hasta antes de la versión 26.05, el método ExternalFilesDownloader.getFilename() extrae el nombre del archivo de destino desde un encabezado de respuesta Content-Disposition proporcionado por el servidor y lo pasa directamente a Path.resolve() sin eliminar los componentes del directorio. Esto permite que un servidor HTTP malicioso, al cual se conecta el visor, proporcione una ruta absoluta o secuencias de traversales ../ como nombre de archivo, escribiendo contenido controlado por el atacante en cualquier ruta writable (con permisos de escritura) para el proceso Tomcat. Al dirigirse al directorio del web-application desplegado, esto resulta en ejecución remota de código (RCE) con los privilegios del usuario OS de tomcat. Este problema ha sido parcheado en la versión 26.05.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.