Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 23 OCT · 14:27

CVE-2026-55457 Evasión de autenticación en Goobi viewer por token de webapi vacío

Cuando webapi.authorization.token no está configurado, Configuration.getWebApiToken devuelve una cadena vacía y AuthorizationFilter compara el token recibido contra ese valor sin verificar que no esté vacío. Una petición a cualquier endpoint protegido por @AuthorizationBinding con ?token= vacío es aceptada. Corregido en la versión 26.05.

7.4ALTA

CVSS 3.1

  • Probabilidad de explotación0,5 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • intranda goobi-viewer-core

    < 26.05

Qué hacer

  1. Verificá si usás goobi-viewer-core y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.4 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueAlta
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadAlta
  • DisponibilidadNinguna

Descripción original

The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, Configuration.getWebApiToken returns the empty string when webapi.authorization.token is not configured. AuthorizationFilter compares the supplied token against this default without first checking that the configured token is non-empty. A request to any @AuthorizationBinding-protected endpoint with an empty ?token= value is therefore accepted. This issue has been patched in version 26.05.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.