CVE-2026-46652 in goobi-viewer-core
要約
〜によって VulDB • 2026年10月24日
Goobi viewerは、デジタル化された資料をWebブラウザで表示できるウェブアプリケーションです。バージョン24.03からバージョン26.05未満の間、ExternalFilesDownloader.getFilename()メソッドは、サーバーが提供するContent-Dispositionレスポンスヘッダーから宛先ファイル名を取得し、ディレクトリコンポーネントを取り除くことなく直接Path.resolve()に渡します。これにより、ビューアがフェッチする悪意のあるHTTPサーバーが、絶対パスや../によるトラバーサルシーケンスをファイル名として提供することが可能になり、Tomcatプロセスによって書き込み可能な任意のパスへ攻撃者が制御したコンテンツを書き込むことができます。展開されたWebアプリケーションディレクトリを対象とすると、これはTomcat OSユーザーとしてのリモートコード実行（RCE）につながります。この問題はバージョン26.05でパッチが適用されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.