CVE-2026-42596
Açıklama
Gotenberg, PDF dosyaları için Docker destekli durumsuz bir API'dir. 8.31.0 sürümünden önce, Gotenberg'in downloadFrom özelliği ve webhook özelliği tarafından kullanılan varsayılan engelleme listeleri (deny-lists) atlatılabilir. Filtre regex tabanlı ve büyük/küçük harfe duyarlı olduğu için, kimliği doğrulanmamış bir saldırgan http://[::ffff:127.0.0.1]:... gibi URL'ler sağlayarak varsayılan engelleme listesinin engellemeyi amaçladığı loopback veya özel HTTP servislerine erişebilir. Bu durum, harici bir çağırıcının sunucuyu yalnızca dahili hedeflere giden dış istekler yapmaya zorlayabilmesi nedeniyle gerçek bir güvenlik sınırını ihlal eder. Bu güvenlik açığı 8.31.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- thecodingmachine gotenberg8.31.0 ya da sonraki bir sürüm
- github.com/gotenberg/gotenberg/v88.32.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thecodingmachine gotenberg | v < 8.31.0 | 8.31.0 |
| github.com/gotenberg/gotenberg/v8Go | v < 8.32.0 | 8.32.0 |
| github.com/gotenberg/gotenberg/v7Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.