CVE-2026-46652 in goobi-viewer-core
요약
\~에 의해 VulDB • 2026. 10. 23.
Goobi viewer는 웹 브라우저에서 디지털화된 자료를 표시할 수 있는 웹 애플리케이션입니다. 버전 24.03부터 버전 26.05 이전까지, ExternalFilesDownloader.getFilename()은 서버가 제공하는 Content-Disposition 응답 헤더에서 대상 파일명을 추출하고 디렉토리 구성 요소를 제거하지 않은 채로 Path.resolve()에 직접 전달합니다. 이로 인해 뷰어가 가져오는 악의적인 HTTP 서버가 절대 경로 또는 ../ 트래버설 시퀀스를 파일명으로 제공하여 Tomcat 프로세스가 쓰기 가능한 임의 경위에 공격자가 제어하는 콘텐츠를 작성할 수 있습니다. 배포된 웹 애플리케이션 디렉토리를 표적으로 할 경우, 이는 tomcat OS 사용자로 원격 코드 실행(RCE)을 초래합니다. 이 문제는 버전 26.05에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.