Goobi viewerにXSSの欠陥、26.05で修正済み
Summary
デジタル化資料を公開するGoobi viewerの25.08以降26.05未満に、IIIF Auth 2.0の認証画面経由で利用者のブラウザ上に悪意あるスクリプトを実行させられる欠陥が見つかりました。公開の図書館・文書館・博物館などが影響を受けます。修正版の26.05が出ているため、該当する版を使っている場合は更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
デジタル化資料を公開するGoobi viewerの25.08以降26.05未満に、IIIF Auth 2.0の認証画面経由で利用者のブラウザ上に悪意あるスクリプトを実行させられる欠陥が見つかりました。公開の図書館・文書館・博物館などが影響を受けます。修正版の26.05が出ているため、該当する版を使っている場合は更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| intranda | goobi-viewer-core | — | — |
Original description The description as published by the source.
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.08 to before version 26.05, the IIIF Auth 2.0 endpoints auth/login and auth/token in AuthorizationFlowResource accept an origin query parameter without validation and then (1) embed it into the Content-Security-Policy: frame-ancestors response header and (2) embed it into an HTML response body as a JavaScript single-quoted postMessage argument. Because the attacker controls both the login and token calls that initiate the flow, the unescaped value yields reflected XSS. This issue has been patched in version 26.05.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com