CVE-2026-55459 Audiencia JWT de OpenID no aplicada por el verificador en Goobi viewer

Qué es CVE-2026-55459

Desde 25.01 hasta antes de 26.05, AuthenticationEndpoint.verifyOpenIdToken no aplica el claim aud durante la validación criptográfica y lo comprueba después con una comparación de cadena simple que solo maneja aud de un solo valor. En configuraciones con múltiples RP, un token emitido para otro relying party pero con aud igual al client ID del viewer autentica al atacante como el sub del token. Corregido en 26.05.

Productos y versiones afectadas

• intranda goobi-viewer-core

  • >= 25.01, < 26.05

Qué hacer

1. Verificá si usás goobi-viewer-core y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.4 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.01 to before version 26.05, AuthenticationEndpoint.verifyOpenIdToken builds its verifier as JWT.require(algorithm).withIssuer(issuer).build() and does not enforce the aud claim during cryptographic validation. The aud check is performed manually afterwards via a single string-equality call, which only handles single-string aud values. In a multi-RP IdP setup, a token whose single-string aud matches the viewer's client ID but was issued for a different relying party passes the check and authenticates the attacker as the token's sub. This issue has been patched in version 26.05.

Referencias

• github.com/intranda/goobi-viewer-core/security/advisories/GHSA-7vrv-qh6g-gfx7X_REFSOURCE_CONFIRM
• github.com/intranda/goobi-viewer-core/commit/73e2ccb63c36392d46f8d21644592efd6cf87933X_REFSOURCE_MISC
• github.com/intranda/goobi-viewer-core/releases/tag/v26.05X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 14:27VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.