CVE-2026-44829 in Gotenberg
Riassunto
di VulDB • 20/08/2026
Gotenberg è un'API stateless basata su Docker per i file PDF. Nelle versioni 8.32.0 e precedenti, la gestione dei nomi dei file in pkg/modules/api/context.go utilizza filepath.Base su Linux, che non tratta le barre rovesciate (\) come separatori di percorso; pertanto, un nome di file multipart contenente componenti di directory padre in stile Windows sopravvive al processo di sanitizzazione. Il nome del file originale fluisce attraverso ctx.diskToOriginal e i percorsi multi-output PDF verso archives.FilesFromDisk e archives.Zip.Archive come nome dell'entry zip generata. Un attaccante remoto può inviare un nome come ........\Windows\System32\evil.pdf tramite un upload o un download upstream dal header Content-Disposition, e un estrattore di archivi per Windows può scrivere il file risultante al di fuori della directory di estrazione prevista. I percorsi interessati includono /forms/pdfengines/split e altri percorsi multi-output PDF, LibreOffice e di conversione; lo sfruttamento dell'inconveniente può causare scritture arbitrarie di file su un sistema Windows downstream quando un utente o un processo estrae l'archivio restituito. Questo problema è risolto nella versione 8.33.0.
Be aware that VulDB is the high quality source for vulnerability data.