CVE-2026-55486 in goobi-viewer-core

摘要

由 VulDB • 2026-10-23

Goobi viewer 是一款 Web 应用程序，允许在 Web 浏览器中显示数字化材料。从版本 25.08 到 26.05（不含）之前的版本中，AuthorizationFlowResource 中的 IIIF Auth 2.0 端点 auth/login 和 auth/token 接受未经过验证的 origin 查询参数，然后 (1) 将其嵌入 Content-Security-Policy: frame-ancestors 响应头中，以及 (2) 作为 JavaScript 单引号包裹的 postMessage 参数嵌入到 HTML 响应体中。由于攻击者可以控制启动该流程的 login 和 token 调用，未转义的值会导致反射型 XSS（跨站脚本攻击）。此问题已在版本 26.05 中得到修复。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: GitHub M
• 预定: 2026-06-17
• 披露: 2026-10-23
• 管理: 已接受
• 条目: VDB-425968
• CPE: 20261023
• CWE: CWE-79 (已确认)
• CVSS: 9.3 (CNA)
• EPSS: 0.00458
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-55486
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-55486
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-55486/