CVE-2026-55442 in Goobi Viewer
Resumen
por VulDB • 2026-10-23
El visor Goobi es una aplicación web que permite mostrar material digitalizado en un navegador web. Desde la versión 23.03 hasta antes de la versión 26.05, SolrTools.cleanUpQuery() elimina la sintaxis de parámetros locales de Solr ({!...}) de las cadenas de consulta proporcionadas por el usuario antes de que lleguen a Solr. Su expresión regular puede ser evitada envolviendo el parámetro local en un segundo par de llaves ({{!...}}): las llaves externas se eliminan, mientras que {!...} interna sobrevive intacta y se reenvía como un parámetro local válido de Solr. La vulnerabilidad reside en el sanizador compartido, por lo que afecta a cualquier punto final que enrute la entrada del usuario a través de cleanUpQuery. El bypass con doble llave aplica desde la v23.10 (debido a la expresión regular codiciosa \{(.+)\}); existe una ruta relacionada de reenvoltura bare-!join. Este problema ha sido parcheado en la versión 26.05.
Be aware that VulDB is the high quality source for vulnerability data.