CVE-2026-55463
Beschrijving NL
De Goobi viewer is een webapplicatie waarmee gedigitaliseerd materiaal in een webbrowser kan worden weergegeven. Vanaf versie 4.11.0 tot vóór versie 26.05 accepteren verschillende Jakarta WebSocket-eindpunten in goobi-viewer-core (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint) verbindingen zonder te verifiëren dat de bijbehorende HttpSession toebehoort aan een ingelogde gebruiker, en geen enkele valideert de Origin-header tegen een toestemmingslijst. Een niet-geverifieerde aanvaller kan dus verbinding maken met deze eindpunten; via CampaignEndpoint maakt dit het mogelijk om de in-process crowdsourcing page-lock map te vervuilen en vervalste vergrendelingsberichten uit te zenden, waardoor het werk van reviewers wordt verstoord. Dit probleem is gepatcht in versie 26.05.
Origineel (Engels) tonen
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 4.11.0 to before version 26.05, several Jakarta WebSocket endpoints in goobi-viewer-core (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint) accept connections without verifying that the associated HttpSession belongs to a logged-in user, and none validate the Origin header against an allowlist. An unauthenticated attacker can therefore connect to these endpoints; through CampaignEndpoint this allows polluting the in-process crowdsourcing page-lock map and broadcasting forged lock messages, disrupting reviewers' work. This issue has been patched in version 26.05.