CVE-2026-44829 in Gotenberg
Résumé
par VulDB • 21/08/2026
Gotenberg est une API sans état basée sur Docker pour les fichiers PDF. Dans la version 8.32.0 et antérieures, la gestion des noms de fichiers dans `pkg/modules/api/context.go` utilise `filepath.Base` sous Linux, qui ne traite pas les barres obliques inverses (`\`) comme des séparateurs de chemin ; ainsi, un nom de fichier multipartite contenant des composants de répertoire parent au format Windows survit à la sanitisation. Le nom de fichier d'origine transite par `ctx.diskToOriginal` et les routes multi-sorties PDF vers `archives.FilesFromDisk` et `archives.Zip.Archive`, où il devient le nom de l'entrée ZIP générée. Un attaquant distant peut soumettre un nom tel que `........\Windows\System32\evil.pdf` via une opération d'upload ou un téléchargement en amont depuis l'en-tête Content-Disposition, permettant à un extracteur d'archives sous Windows d'écrire le fichier résultant en dehors du répertoire d'extraction prévu. Les chemins affectés incluent `/forms/pdfengines/split` ainsi que les autres routes de sortie multiple pour PDF, LibreOffice et la conversion ; l'exploitation peut entraîner des écritures arbitraires de fichiers sur un système Windows distant lorsqu'un utilisateur ou un processus extrait l'archive retournée. Ce problème est corrigé dans la version 8.33.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.