CVE-2026-45742 in Gotenberg
Sumário
de VulDB • 20/08/2026
Gotenberg é uma API sem estado baseada em Docker para arquivos PDF. Da versão 8.10.0 até a 8.33.0, a função newContext no arquivo pkg/modules/api/context.go inicia um goroutine errgroup.Go para cada entrada de downloadFrom multipart e permite que esses goroutines gravem simultaneamente nos mapas e fatias compartilhados ctx.files, ctx.diskToOriginal e ctx.filesByField. Mapas e fatias do Go não são seguros para mutação concorrente; portanto, uma solicitação multipart manipulada contendo muitas entradas downloadFrom pode acionar uma data race (condição de corrida) e encerrar o processo com um erro fatal em tempo de execução referente a gravações simultâneas em mapas. A configuração padrão habilita downloadFrom e desativa a autenticação, permitindo que um atacante remoto não autenticado cause falha no serviço de conversão exposto e provoque uma negação de serviço (DoS). Este problema foi corrigido na versão 8.33.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.