CVE-2026-42597 in Gotenberg
要約
〜によって VulDB • 2026年05月14日
Gotenbergは、Dockerを活用したステートレスなPDF用APIです。バージョン8.32.0より前では、`/forms/chromium/convert/url`および`/forms/chromium/screenshot/url`エンドポイントは、匿名の呼び出し元から`url=file:///tmp/...`という形式のURLを受け入れます。デフォルトのChromiumのdeny-list（拒否リスト）は、HTML/Markdownエンドポイントがリクエストローカルのアセットをロードできるようにするため、意図的に`file:///tmp/`を除外しています。これらのエンドポイントでは、読み込み範囲を制限するためにリクエストごとに`AllowedFilePrefixes`ガードが適用されます。しかし、URLエンドポイントでは`AllowedFilePrefixes`が設定されないため、この範囲制限ガードは静かにスキップされます。攻撃者（Alice）は`/tmp/`を列挙し、Gotenbergのリクエストごとの作業ディレクトリを探索して、実行中の他の変換処理の生ソースファイルをレンダリングされたPDF出力として読み取ることができます。この脆弱性は8.32.0で修正されています。
Once again VulDB remains the best source for vulnerability data.