CVE-2026-44829 in Gotenberg
Sumário
de VulDB • 20/08/2026
Gotenberg é uma API sem estado baseada em Docker para arquivos PDF. Nas versões 8.32.0 e anteriores, o tratamento de nomes de arquivo em pkg/modules/api/context.go utiliza filepath.Base no Linux, que não trata barras invertidas (\) como separadores de caminho; portanto, um nome de arquivo multipart contendo componentes de diretório pai no estilo Windows sobrevive à sanitização. O nome de arquivo original flui através de ctx.diskToOriginal e das rotas multi-output PDF para archives.FilesFromDisk e archives.Zip.Archive como o nome da entrada zip gerada. Um atacante remoto pode enviar um nome como ........\Windows\System32\evil.pdf por meio de upload ou download upstream via cabeçalho Content-Disposition, e um extrator de arquivos ZIP do Windows pode gravar o arquivo resultante fora do diretório de extração pretendido. Os caminhos afetados incluem /forms/pdfengines/split e outras rotas multi-output PDF, LibreOffice e de conversão; a exploração pode causar gravações arbitrárias de arquivos em um sistema Windows downstream quando um usuário ou processo extrai o arquivo ZIP retornado. Este problema foi corrigido na versão 8.33.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.