CVE-2026-55459 in goobi-viewer-core
Tóm tắt
Bởi VulDB • 24/10/2026
Goobi Viewer là một ứng dụng web cho phép hiển thị tài liệu đã được số hóa trong trình duyệt web. Từ phiên bản 25.01 đến trước phiên bản 26.05, phương thức AuthenticationEndpoint.verifyOpenIdToken xây dựng bộ xác thực của nó dưới dạng JWT.require(algorithm).withIssuer(issuer).build() và không bắt buộc kiểm tra claim aud trong quá trình xác minh mật mã. Kiểm tra aud được thực hiện thủ công sau đó thông qua một lệnh gọi so sánh chuỗi đơn giản, chỉ xử lý các giá trị aud là chuỗi đơn. Trong môi trường IdP với nhiều RP (Relying Party), một token có giá trị aud dạng chuỗi đơn khớp với ID khách hàng của Goobi Viewer nhưng đã được cấp cho một bên tin cậy khác sẽ vượt qua kiểm tra và xác thực kẻ tấn công dưới danh nghĩa sub của token đó. Vấn đề này đã được sửa chữa trong phiên bản 26.05.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.