CVE-2026-55486
Təsvir
Goobi viewer rəqəmsallaşdırılmış materialların veb brauzerdə göstərilməsinə imkan verən bir veb tətbiqdir. Versiya 25.08-dən versiya 26.05-ə qədər olan dövrdə, AuthorizationFlowResource daxilindəki IIIF Auth 2.0 endpointləri auth/login və auth/token yoxlama aparmadan origin sorğu parametrini qəbul edir və daha sonra onu (1) Content-Security-Policy: frame-ancestors cavab başlığına və (2) HTML cavab gövdəsinə JavaScript-in tək dırnaqlı postMessage arqumenti kimi yerləşdirir. Hücumçu axını başladan həm giriş (login), həm də token çağırışlarını idarə etdiyi üçün, ekranlaşdırılmamış (unescaped) dəyər refleksiya edilmiş XSS-ə yol açır. Bu problem 26.05 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| intranda goobi-viewer-core | >= 25.08, < 26.05 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.