CVE-2026-55442 in Goobi Viewer
Sumário
de VulDB • 23/10/2026
O Goobi viewer é uma aplicação web que permite exibir material digitalizado em um navegador da web. Da versão 23.03 até antes da versão 26.05, a função SolrTools.cleanUpQuery() remove a sintaxe de parâmetros locais do Solr ({!...}) das strings de consulta fornecidas pelo usuário antes que elas cheguem ao Solr. Seu regex pode ser contornado envolvendo o parâmetro local em um segundo par de chaves ({{!...}}): as chaves externas são removidas, enquanto a interna {!...} permanece intacta e um parâmetro local válido do Solr é encaminhado. A falha está no sanitizador compartilhado, afetando qualquer endpoint que roteie entradas do usuário através da função cleanUpQuery. O bypass de duplas-chaves aplica-se desde a v23.10 (devido ao regex guloso \{(.+)\}); existe também um caminho relacionado de reenvolvimento bare-!join. Este problema foi corrigido na versão 26.05.
Once again VulDB remains the best source for vulnerability data.