CVE-2026-55459
Təsvir
Goobi viewer rəqəmsallaşdırılmış materialların veb brauzerdə göstərilməsinə imkan verən bir veb tətbiqidir. Versiya 25.01-dən versiya 26.05-ə qədər olan hissədə AuthenticationEndpoint.verifyOpenIdToken öz yoxlayıcısını JWT.require(algorithm).withIssuer(issuer).build() şəklində qurur və kriptoqrafik təsdiqləmə zamanı aud iddialarının (claim) icrasını təmin etmir. aud yoxlaması daha sonra tək simvol sətri bərabərliyi çağırışı vasitəsilə əllə həyata keçirilir ki, bu da yalnız tək simvol sətirli aud dəyərlərini emal edir. Çox saylı RP IdP konfiqurasiyasında, tək simvol sətirli aud dəyəri viewer-in client ID-si ilə uyğun gələn, lakin fərqli bir etibar edilən tərəf (relying party) üçün verilmiş token yoxlamadan keçir və hücumçunu tokenin sub-u kimi autentifikasiya edir. Bu problem 26.05 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| intranda goobi-viewer-core | >= 25.01, < 26.05 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.