CVE-2026-46346
Beschrijving NL
De Goobi viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Vóór versie 26.05 is het wachtwoordresettoken voorspelbaar op basis van het tijdstip van het resetverzoek. Een aanvaller die het e-mailadres van het doelwit kent, kan een reset aanvragen en vervolgens het token met brute kracht forceren. Door alleen gebruik te maken van deze bevinding wordt een ongeautoriseerd wachtwoord opnieuw ingesteld op elk account. Dit probleem is gepatcht in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, the password reset token is predictably based on the time of the reset request. An attacker who knows the target's email address can request a reset and then brute-force the token. Exploiting this finding alone forces an unauthorized password reset on any account. This issue has been patched in version 26.05.