CVE-2026-46652
Təsvir
Goobi viewer rəqəmsallaşdırılmış materialların veb brauzerdə göstərilməsinə imkan verən bir veb tətbiqdir. Versiya 24.03-dən versiya 26.05-ə qədər olan dövrdə ExternalFilesDownloader.getFilename() funksiyası təyinat faylının adını server tərəfindən təmin edilən Content-Disposition cavab başlığından çıxarır və kataloq komponentlərini təmizləmədən onu birbaşa Path.resolve() funksiyasına ötürür. Bu, viewer-in məlumat aldığı zərərli HTTP serverinə fayl adı kimi mütləq yolu və ya ../ keçid ardıcıllıqlarını təqdim etməyə imkan verir ki, bu da hücumçunun idarə etdiyi məzmunun Tomcat prosesi tərəfindən yazıla bilən istənilən yola yazılmasına səbəb olur. Tətbiq edilmiş veb-tətbiq kataloqu hədəf alındıqda, bu, tomcat ƏM istifadəçisi kimi uzaqdan kodun icrasına gətirib çıxarır. Bu problem 26.05 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| intranda goobi-viewer-core | >= 24.03, < 26.05 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.