Goobi viewer で空の認証トークンにより認証を回避される恐れ
概要
Goobi viewer では、webapi.authorization.token が未設定の場合に空のトークンで認証を回避され、認可が必要な API に不正にアクセスされるおそれがあります。影響を受けるのは version 26.05 より前の goobi-viewer-core です。version 26.05 以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Goobi viewer では、webapi.authorization.token が未設定の場合に空のトークンで認証を回避され、認可が必要な API に不正にアクセスされるおそれがあります。影響を受けるのは version 26.05 より前の goobi-viewer-core です。version 26.05 以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| intranda | goobi-viewer-core | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, Configuration.getWebApiToken returns the empty string when webapi.authorization.token is not configured. AuthorizationFilter compares the supplied token against this default without first checking that the configured token is non-empty. A request to any @AuthorizationBinding-protected endpoint with an empty ?token= value is therefore accepted. This issue has been patched in version 26.05.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com