CVE-2026-55459
Beschrijving NL
De Goobi-viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Van versie 25.01 tot en met versie 26.05 bouwt AuthenticationEndpoint.verifyOpenIdToken zijn verificator op als JWT.require(algorithm).withIssuer(issuer).build() en dwingt de aud-claim niet af tijdens cryptografische validatie. De aud-controle wordt daarna handmatig uitgevoerd via een enkele string-equality-aanroep, die alleen aud-waarden van één tekenreeks verwerkt. In een multi-RP IdP-opstelling doorstaat een token waarvan de single-string-audit overeenkomt met de client-ID van de kijker, maar is uitgegeven voor een andere vertrouwende partij de controle en authenticeert de aanvaller als de sub van het token. Dit probleem is gepatcht in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.01 to before version 26.05, AuthenticationEndpoint.verifyOpenIdToken builds its verifier as JWT.require(algorithm).withIssuer(issuer).build() and does not enforce the aud claim during cryptographic validation. The aud check is performed manually afterwards via a single string-equality call, which only handles single-string aud values. In a multi-RP IdP setup, a token whose single-string aud matches the viewer's client ID but was issued for a different relying party passes the check and authenticates the attacker as the token's sub. This issue has been patched in version 26.05.