CVE-2026-55457
Beschrijving NL
De Goobi viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Voor versie 26.05 retourneert Configuration.getWebApiToken de lege tekenreeks wanneer webapi.authorization.token niet is geconfigureerd. AuthorizationFilter vergelijkt het geleverde token met deze standaard zonder eerst te controleren of het geconfigureerde token niet leeg is. Een verzoek aan een @AuthorizationBinding-beveiligd eindpunt met een lege ?token= value wordt daarom geaccepteerd. Dit probleem is verholpen in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, Configuration.getWebApiToken returns the empty string when webapi.authorization.token is not configured. AuthorizationFilter compares the supplied token against this default without first checking that the configured token is non-empty. A request to any @AuthorizationBinding-protected endpoint with an empty ?token= value is therefore accepted. This issue has been patched in version 26.05.