CVE-2026-42590
Təsvir
Gotenberg PDF faylları üçün Docker əsaslı və vəziyyətsiz (stateless) bir API-dır. 8.30.0 versiyasından əvvəl Gotenberg-dəki ExifTool metadata yazma blok siyahısı ExifTool-un qrup prefiksi sintaksisindən istifadə etməklə yan keçilə bilər ki, bu da serverdə ixtiyari fayl adının dəyişdirilməsinə, köçürülməsinə, hardlink və symlink yaradılmasına imkan verir. ExifTool elə bir qrup prefiksi sintaksisini dəstəkləyir ki, burada File:FileName eynilə FileName kimi emal edilir — prefiks teqlərin uyğunlaşdırılmasından əvvəl Writer.pl daxilindəki SetNewValue tərəfindən silinir. safeKeyPattern reqeksiya ifadəsi (^[a-zA-Z0-9\-_.:]+$) iki nöqtəyə icazə verdiyi üçün prefiksli teq adları validasiyadan keçir. Hər hansı prefiks işləyir: File:FileName, System:Directory, a:HardLink və s. Əlavə olaraq, FilePermissions, FileUserID və FileGroupID psevdo-teqləri heç cür bloklanmır və hər hansı prefikssiz fayl atributlarını dəyişdirə bilir. Bu zəiflik 8.30.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- thecodingmachine gotenberg8.30.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thecodingmachine gotenberg | v < 8.30.0 | 8.30.0 |
| github.com/gotenberg/gotenberg/v8Go | v ≤ 8.29.1, Aralıq göstərilməyib | — |
| github.com/gotenberg/gotenberg/v7Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.