CVE-2026-45742 in Gotenberg
요약
\~에 의해 VulDB • 2026. 08. 19.
Gotenberg는 Docker 기반의 상태 비저장 API로 PDF 파일을 처리합니다. 버전 8.10.0부터 8.33.0까지, pkg/modules/api/context.go에 있는 newContext 함수는 각 multipart downloadFrom 항목마다 하나의 errgroup.Go goroutine를 시작하며, 이러한 goroutines가 공유되는 ctx.files, ctx.diskToOriginal 및 ctx.filesByField 맵과 슬라이스에 동시에 작성할 수 있습니다. Go의 맵과 슬라이스는 동시 수정에 안전하지 않으므로, 많은 downloadFrom 항목을 포함한 조작된 multipart 요청은 데이터 레이스(data race)를 유발하여 치명적인 'concurrent map writes' 런타임 오류로 프로세스를 종료시킬 수 있습니다. 기본 구성에서는 downloadFrom이 활성화되고 인증이 비활성화되어 있어, 인증되지 않은 원격 공격자가 노출된 변환 서비스를 충돌시켜 서비스 거부(Denial of Service)를 초래할 수 있습니다. 이 문제는 버전 8.33.0에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.