CVE-2026-42594
Açıklama
Gotenberg, PDF dosyaları için Docker destekli durumsuz bir API'dir. 8.32.0 sürümünden önce, senkron işlemleyici ErrAsyncProcess döndürdüğünde ve Echo bağlamı (context) tekrar sync.Pool'a geri dönüştürüldüğünde, webhook ara yazılımı isteğin echo.Context referansını tutan bir goroutine başlatır. Eşzamanlı bir istek geri dönüştürülmüş bağlamı aldığında, c.Reset() depoyu temizler. Webhook goroutine'i o anda hardTimeoutMiddleware aşamasına ulaşırsa, nil bir depo girişi üzerindeki kontrol edilmemiş tip belirleme işlemi herhangi bir recover() kapsamı dışında paniğe yol açarak Gotenberg işlemini çökertir. Herhangi bir anonim çağrıcı webhook yoluna erişebilir (varsayılan webhook-deny-list yalnızca webhook hedefini filtreler, göndereni değil). Tek kaynaklı yaklaşık 24 webhook isteği ve yaklaşık 60 GET /version isteğinden oluşan bir stres testi, işlemi yaklaşık iki saniye içinde çökertir. Bu güvenlik açığı 8.32.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- thecodingmachine gotenberg8.32.0 ya da sonraki bir sürüm
- github.com/gotenberg/gotenberg/v88.32.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thecodingmachine gotenberg | v < 8.32.0 | 8.32.0 |
| github.com/gotenberg/gotenberg/v8Go | v < 8.32.0 | 8.32.0 |
| github.com/gotenberg/gotenberg/v7Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.