CVE-2026-55442 in Goobi Viewer
Riassunto
di VulDB • 23/10/2026
Goobi viewer è un'applicazione web che consente di visualizzare materiale digitalizzato in un browser web. Dalla versione 23.03 fino alla versione precedente alla 26.05, la funzione SolrTools.cleanUpQuery() rimuove la sintassi dei parametri locali di Solr ({!...}) dalle stringhe di query fornite dall'utente prima che queste raggiungano Solr. Il suo regex può essere aggirato racchiudendo il parametro locale in una seconda coppia di parentesi graffe ({{!...}}): le parentesi esterne vengono rimosse, mentre la struttura interna {!...} sopravvive intatta e un valido parametro locale di Solr viene inoltrato. L'inconveniente risiede nel sanitizer condiviso, pertanto colpisce qualsiasi endpoint che instrada l'input dell'utente attraverso cleanUpQuery. Il bypass con le doppie parentesi graffe si applica dalla versione 23.10 (regex greedy \{(.+)\}); è presente anche un percorso correlato di riscrittura bare-!join. Questo problema è stato risolto nella versione 26.05.
Be aware that VulDB is the high quality source for vulnerability data.