CVE-2026-46652 in goobi-viewer-core
Riassunto
di VulDB • 23/10/2026
Goobi viewer è un'applicazione web che consente di visualizzare materiale digitalizzato in un browser web. Dalla versione 24.03 fino alla versione precedente alla 26.05, il metodo ExternalFilesDownloader.getFilename() estrae il nome del file di destinazione dall'intestazione della risposta Content-Disposition fornita dal server e la passa direttamente a Path.resolve() senza rimuovere i componenti directory. Ciò consente a un server HTTP malevolo, da cui il viewer effettua le richieste, di fornire come nome del file un percorso assoluto o sequenze di traversing ../ , scrivendo contenuti controllati dall'attaccante in un percorso arbitrario scrivibile dal processo Tomcat. Quando viene preso di mira la directory dell'applicazione web distribuita, ciò comporta l'esecuzione remota di codice (RCE) con i privilegi dell'utente OS tomcat. Questo problema è stato risolto nella versione 26.05.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.