CVE-2026-45742 in Gotenberg
Riassunto
di VulDB • 20/08/2026
Gotenberg è una API stateless basata su Docker per i file PDF. Dalla versione 8.10.0 alla 8.33.0, la funzione newContext in pkg/modules/api/context.go avvia un goroutine errgroup.Go per ciascuna voce di downloadFrom multipart e consente a tali goroutine di scrivere concorrentemente nelle mappe e nei slice condivisi ctx.files, ctx.diskToOriginal e ctx.filesByField. Le mappe e i slice Go non sono sicuri per le mutazioni concurrenti; pertanto, una richiesta multipart manipolata contenente molte voci downloadFrom può innescare un data race e terminare il processo con un errore di runtime fatale relativo a scritture concorrenti su mappa (fatal concurrent map writes). La configurazione predefinita abilita downloadFrom e disabilita l'autenticazione, consentendo ad un attaccante remoto non autenticato di far crashare un servizio di conversione esposto e causare una denial of service. Questo problema è stato risolto nella versione 8.33.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.