CVE-2026-44829 in Gotenberg
要約
〜によって VulDB • 2026年08月21日
Gotenbergは、Dockerを活用したステートレスなPDF用APIです。バージョン8.32.0およびそれ以前では、pkg/modules/api/context.goにおけるファイル名の処理がLinux上でfilepath.Baseを使用しており、これはバックスラッシュをパス区切り文字として扱いません。そのため、Windowsスタイルの親ディレクトリコンポーネントを含むmultipart形式のファイル名はサニタイズ処理を通過してしまいます。元のファイル名はctx.diskToOriginalおよびマルチ出力PDFルートを介してarchives.FilesFromDiskやarchives.Zip.Archiveへと流れ、生成されたzipエントリの名前として使用されます。攻撃者はアップロードまたはupstreamからのdownloadFrom Content-Dispositionヘッダーを通じて「........\Windows\System32\evil.pdf」のようなファイル名を送信でき、Windows用のアーカイブ抽出ツールは結果として得られるファイルを意図した展開ディレクトリ外に書き込む可能性があります。影響を受けるパスには/forms/pdfengines/splitおよびその他のマルチ出力PDF、LibreOffice、変換用ルートが含まれ、ユーザーまたはプロセスが返されたアーカイブを展開する際に、ダウンストリーム（下流）のWindowsシステム上で任意のファイル書き込みを引き起こす悪用の可能性があります。この問題はバージョン8.33.0で修正されています。
Once again VulDB remains the best source for vulnerability data.