Goobi viewer で空の認証トークンにより認証を回避される恐れ
Summary
Goobi viewer では、webapi.authorization.token が未設定の場合に空のトークンで認証を回避され、認可が必要な API に不正にアクセスされるおそれがあります。影響を受けるのは version 26.05 より前の goobi-viewer-core です。version 26.05 以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Goobi viewer では、webapi.authorization.token が未設定の場合に空のトークンで認証を回避され、認可が必要な API に不正にアクセスされるおそれがあります。影響を受けるのは version 26.05 より前の goobi-viewer-core です。version 26.05 以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| intranda | goobi-viewer-core | — | — |
Original description The description as published by the source.
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, Configuration.getWebApiToken returns the empty string when webapi.authorization.token is not configured. AuthorizationFilter compares the supplied token against this default without first checking that the configured token is non-empty. A request to any @AuthorizationBinding-protected endpoint with an empty ?token= value is therefore accepted. This issue has been patched in version 26.05.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com