CVE-2026-46347
Beschrijving NL
De Goobi viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Vóór versie 26.05, wanneer een link voor het opnieuw instellen van een wachtwoord wordt bezocht, genereert de applicatie op een voorspelbare manier een vervangend wachtwoord en e-mailt het naar de accounthouder. Door de ontoereikende entropie kan het wachtwoord bruut worden afgedwongen door een aanvaller die de generatietijd aan de serverzijde kan benaderen. Om deze bevinding afzonderlijk te exploiteren, moet het slachtoffer de reset zelf hebben geactiveerd en moet de aanvaller de servertijd afleiden uit netwerk- of e-mailmetagegevens. Dit probleem is gepatcht in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, when a password reset link is visited, the application generates a replacement password in a predictable way and emails it to the account holder. The insufficient entropy allows the password to be brute-forced by an attacker who can approximate the server-side generation time. Exploiting this finding in isolation requires the victim to have triggered the reset themselves and the attacker to infer the server time from network or email metadata. This issue has been patched in version 26.05.