CVE-2026-40281
Açıklama
Gotenberg, PDF dosyaları için Docker tabanlı durumsuz bir API'dir. 8.30.1 ve önceki sürümlerde, meta veri yazma uç noktası meta veri anahtarlarını kontrol karakterleri açısından doğrular ancak meta veri değerlerini temizlemeden bırakır. Bir meta veri değerindeki yeni satır karakteri, ExifTool standart giriş (stdin) satırını iki ayrı argümana ayırarak -FileName, -Directory, -SymLink ve -HardLink gibi rastgele ExifTool sözde etiketlerinin (pseudo-tags) enjekte edilmesine olanak tanır. Bu durum, v8.30.1 sürümünde getirilen eksik anahtar temizleme düzeltmesinin atlatılmasıdır. Kimliği doğrulanmamış bir saldırgan, işlenen herhangi bir PDF dosyasının adını değiştirebilir veya konteyner dosya sisteminde rastgele bir yola taşıyabilir, rastgele dosyaların üzerine yazabilir veya rastgele yollarda sembolik bağlantılar (symlink) ve sert bağlantılar (hard link) oluşturabilir.
Nasıl düzeltilir
- thecodingmachine gotenberg8.31.0 ya da sonraki bir sürüm
- github.com/gotenberg/gotenberg/v88.31.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thecodingmachine gotenberg | v < 8.31.0 | 8.31.0 |
| github.com/gotenberg/gotenberg/v8Go | v < 8.31.0 | 8.31.0 |
| github.com/gotenberg/gotenberg/v7Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.