CVE-2026-46652
Beschrijving NL
De Goobi viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Vanaf versie 24.03 tot vóór versie 26.05 extraheert ExternalFilesDownloader.getFilename() de bestemmingsbestandsnaam uit een door de server geleverde Content-Disposition-responsheader en geeft deze rechtstreeks door aan Path.resolve() zonder mapcomponenten te strippen. Dit maakt het mogelijk voor een kwaadaardige HTTP-server waarvan de kijker ophaalt om een absoluut pad of ../traversal-sequenties als de bestandsnaam te leveren, waarbij door de aanvaller gecontroleerde inhoud wordt geschreven naar een willekeurig pad dat kan worden beschreven door het Tomcat-proces. Bij het targeten van de geïmplementeerde webapplicatiemap levert dit externe code-uitvoering op als de tomcat OS-gebruiker. Dit probleem is gepatcht in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 24.03 to before version 26.05, ExternalFilesDownloader.getFilename() extracts the destination filename from a server-supplied Content-Disposition response header and passes it directly to Path.resolve() without stripping directory components. This allows for a malicious HTTP server that the viewer fetches from to supply an absolute path or ../ traversal sequences as the filename, writing attacker-controlled content to an arbitrary path writable by the Tomcat process. When targeting the deployed web-application directory, this yields remote code execution as the tomcat OS user. This issue has been patched in version 26.05.