CVE-2026-42590
Açıklama
Gotenberg, PDF dosyaları için Docker destekli durumsuz bir API'dir. 8.30.0 sürümünden önce, Gotenberg'deki ExifTool meta veri yazma engelleme listesi, ExifTool'un grup ön eki sözdizimi kullanılarak atlatılabilir; bu da sunucuda rastgele dosya yeniden adlandırma, taşıma, hardlink ve symlink oluşturulmasına olanak tanır. ExifTool, File:FileName ifadesinin FileName ile aynı şekilde işlendiği grup ön eki sözdizimini destekler; ön ek, etiket eşleşmesinden önce Writer.pl içindeki SetNewValue tarafından kaldırılır. safeKeyPattern düzenli ifadesi (^[a-zA-Z0-9\-_.:]+$) iki nokta üst üste işaretine izin verdiğinden, ön ekli etiket isimleri doğrulamadan geçer. Herhangi bir ön ek çalışır: File:FileName, System:Directory, a:HardLink vb. Ek olarak, FilePermissions, FileUserID ve FileGroupID sözde etiketleri hiçbir şekilde engellenmemiştir ve herhangi bir ön ek olmadan dosya özniteliklerini değiştirebilir. Bu güvenlik açığı 8.30.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- thecodingmachine gotenberg8.30.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thecodingmachine gotenberg | v < 8.30.0 | 8.30.0 |
| github.com/gotenberg/gotenberg/v8Go | v ≤ 8.29.1, Aralık belirtilmemiş | — |
| github.com/gotenberg/gotenberg/v7Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.