CVE-2026-40281
Təsvir
Gotenberg PDF faylları üçün Docker əsaslı və vəziyyətsiz (stateless) bir API-dır. 8.30.1 və daha öncəki versiyalarda meta-məlumat yazma son nöqtəsi (endpoint) meta-məlumat açarlarını idarəetmə simvolları üçün yoxlasa da, meta-məlumat dəyərlərini təmizləmir. Meta-məlumat dəyərindəki yeni sətir simvolu ExifTool stdin sətrini iki ayrı arqumentə bölür ki, bu da -FileName, -Directory, -SymLink və -HardLink kimi ixtiyari ExifTool psevdo-teqlərinin inyeksiyasına şərait yaradır. Bu, v8.30.1 versiyasında tətbiq edilmiş natamam açar-təmizləmə düzəlişinin yan keçilməsidir. Autentifikasiya olunmamış hücumçu emal edilən hər hansı PDF faylının adını dəyişdirə və ya onu konteyner fayl sistemində ixtiyari yola köçürə, ixtiyari faylların üzərinə yaza və ya ixtiyari yollarda simvolik linklər (symlink) və sərt linklər (hard link) yarada bilər.
Necə düzəltmək olar
- thecodingmachine gotenberg8.31.0 və ya daha yeni versiya
- github.com/gotenberg/gotenberg/v88.31.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thecodingmachine gotenberg | v < 8.31.0 | 8.31.0 |
| github.com/gotenberg/gotenberg/v8Go | v < 8.31.0 | 8.31.0 |
| github.com/gotenberg/gotenberg/v7Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.