Goobi viewerに認証なしSSRFとファイル読取の弱点、26.05で修正
Summary
デジタル化資料を公開するWebアプリケーションGoobi viewerに、ログインなしで外部から悪用できる重大な弱点が見つかりました。バージョン24.03以降26.05未満を使っている図書館・アーカイブ・大学などが影響を受けます。修正版26.05へ更新し、更新できない間は該当経路への外部アクセスを制限してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
デジタル化資料を公開するWebアプリケーションGoobi viewerに、ログインなしで外部から悪用できる重大な弱点が見つかりました。バージョン24.03以降26.05未満を使っている図書館・アーカイブ・大学などが影響を受けます。修正版26.05へ更新し、更新できない間は該当経路への外部アクセスを制限してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| intranda | goobi-viewer-core | — | — |
Original description The description as published by the source.
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 24.03 to before version 26.05, the DownloadTaskEndpoint WebSocket endpoint (/tasks/download/monitor.socket) in goobi-viewer-core accepts download requests from unauthenticated users. This issue has been patched in version 26.05.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- patch github.com
- web github.com