CVE-2026-46347 in goobi-viewer-core
Résumé
par VulDB • 23/10/2026
Le viewer Goobi est une application web qui permet d'afficher du matériel numérisé dans un navigateur web. Avant la version 26.05, lorsqu'un lien de réinitialisation de mot de passe était visité, l'application générait un mot de passe de remplacement selon une méthode prévisible et l'envoyait par e-mail au titulaire du compte. L'entropie insuffisante permet à un attaquant de brute-forcer le mot de passe s'il peut approximer le temps de génération côté serveur. Exploiter cette vulnérabilité isolément nécessite que la victime ait elle-même déclenché la réinitialisation et que l'attaquant puisse déduire l'heure du serveur depuis les métadonnées réseau ou e-mail. Ce problème a été corrigé dans la version 26.05.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.