CVE-2026-55459
Açıklama
Goobi viewer, dijitalleştirilmiş materyallerin bir web tarayıcısında görüntülenmesine olanak tanıyan bir web uygulamasıdır. Versiyon 25.01 ile versiyon 26.05 öncesi arasında, AuthenticationEndpoint.verifyOpenIdToken doğrulayıcısını JWT.require(algorithm).withIssuer(issuer).build() şeklinde oluşturur ve kriptografik doğrulama sırasında aud talebini zorunlu kılmaz. aud kontrolü daha sonra tek bir dize eşitliği çağrısı aracılığıyla manuel olarak gerçekleştirilir ve bu işlem yalnızca tek dizeli aud değerlerini işler. Çoklu RP IdP kurulumunda, tek dizeli aud değeri viewer'ın istemci kimliğiyle eşleşen ancak farklı bir güvenilen taraf için düzenlenmiş bir belirteç, kontrolü geçer ve saldırganı belirtecin sub'u olarak kimliklendirir. Bu sorun versiyon 26.05'te düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | >= 25.01, < 26.05 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.