CVE-2026-42594
Təsvir
Gotenberg PDF faylları üçün Docker əsaslı və vəziyyətsiz (stateless) bir API-dır. 8.32.0 versiyasından əvvəl, sinxron idarəedici (handler) ErrAsyncProcess qaytardıqdan və Echo konteksti yenidən öz sync.Pool-una göndərdikdən sonra, webhook proqram təminatı (middleware) sorğunun echo.Context istinadını saxlayan bir goroutine yaradır. Eyni vaxtda gələn digər sorğu təkrar istifadə edilən konteksti götürdükdə, c.Reset() funksiyası yaddaşı (store) təmizləyir. Əgər həmin anda webhook goroutine-i hardTimeoutMiddleware mərhələsinə çatarsa, boş (nil) yaddaş elementində yoxlanılmamış tip təyini (type assertion) hər hansı recover() sahəsinin xaricində panika törədərək Gotenberg prosesinin çökməsinə səbəb olur. Hər hansı anonim çağırıcı webhook yoluna daxil ola bilər (defolt webhook-deny-list yalnız webhook təyinat nöqtəsini filtrləyir, göndərəni yox). Təxminən 24 webhook sorğusu və 60 GET /version sorğusundan ibarət tək mənbəli stres testi prosesi təxminən iki saniyəyə çökdürür. Bu zəiflik 8.32.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- thecodingmachine gotenberg8.32.0 və ya daha yeni versiya
- github.com/gotenberg/gotenberg/v88.32.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thecodingmachine gotenberg | v < 8.32.0 | 8.32.0 |
| github.com/gotenberg/gotenberg/v8Go | v < 8.32.0 | 8.32.0 |
| github.com/gotenberg/gotenberg/v7Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.