CVE-2026-55465
Beschrijving NL
De Goobi-viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Van versie 22.04 tot vóór versie 26.05 voegt het niet-geauthenticeerde REST-eindpunt GET /api/v1/index/{solrField}/spatial/search de door de gebruiker opgegeven regioqueryparameter rechtstreeks samen met een Solr-queryreeks zonder ontsnappingstekens, zonder verwijdering van lokale parameters en zonder runtime-schema-handhaving (de OpenAPI @Schema(pattern=...) annotatie is alleen documentatie op JAX-RS-niveau). Een aanvaller kan Solr local-param syntax ({!parent ...}, {!join ...}) en booleaanse operatoren injecteren om records met beperkte toegang en geografische referenties te laten overeenkomen met de query, waardoor het toegangsvoorwaardefilter wordt omzeild. Dit probleem is verholpen in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 22.04 to before version 26.05, the unauthenticated REST endpoint GET /api/v1/index/{solrField}/spatial/search concatenates the user-supplied region query parameter directly into a Solr query string with no escaping, no local-param stripping, and no runtime schema enforcement (the OpenAPI @Schema(pattern=...) annotation is documentation-only at the JAX-RS layer). An attacker can inject Solr local-param syntax ({!parent ...}, {!join ...}) and boolean operators to make access-restricted georeferenced records match the query, bypassing the access-condition filter. This issue has been patched in version 26.05.