CVE-2026-46652 in goobi-viewer-core
Résumé
par VulDB • 23/10/2026
Le visualiseur Goobi est une application web qui permet d'afficher du matériel numérisé dans un navigateur web. De la version 24.03 à avant la version 26.05, ExternalFilesDownloader.getFilename() extrait le nom de fichier de destination depuis l'en-tête de réponse Content-Disposition fourni par le serveur et le transmet directement à Path.resolve() sans supprimer les composants de répertoire. Cela permet à un serveur HTTP malveillant, auquel le visualiseur se connecte, de fournir un chemin absolu ou des séquences de traversal ../ comme nom de fichier, écrivant du contenu contrôlé par l'attaquant dans n'importe quel chemin accessible en écriture par le processus Tomcat. En ciblant le répertoire de l'application web déployée, cela entraîne une exécution de code à distance (RCE) en tant qu'utilisateur OS tomcat. Ce problème a été corrigé dans la version 26.05.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.