CVE-2026-55463 Endpoints WebSocket sin autenticación ni validación de origen en Goobi viewer

Qué es CVE-2026-55463

Desde 4.11.0 hasta antes de 26.05, varios endpoints Jakarta WebSocket de goobi-viewer-core (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint) aceptan conexiones sin verificar que la HttpSession pertenezca a un usuario autenticado y sin validar el encabezado Origin. Un atacante no autenticado puede conectarse y, vía CampaignEndpoint, contaminar el mapa de bloqueos de páginas y difundir mensajes de bloqueo falsos. Corregido en 26.05.

Productos y versiones afectadas

• intranda goobi-viewer-core

  • >= 4.11.0, < 26.05

Qué hacer

1. Verificá si usás goobi-viewer-core y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 4.11.0 to before version 26.05, several Jakarta WebSocket endpoints in goobi-viewer-core (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint) accept connections without verifying that the associated HttpSession belongs to a logged-in user, and none validate the Origin header against an allowlist. An unauthenticated attacker can therefore connect to these endpoints; through CampaignEndpoint this allows polluting the in-process crowdsourcing page-lock map and broadcasting forged lock messages, disrupting reviewers' work. This issue has been patched in version 26.05.

Referencias

• github.com/intranda/goobi-viewer-core/security/advisories/GHSA-h5m9-fpvw-qr36X_REFSOURCE_CONFIRM
• github.com/intranda/goobi-viewer-core/commit/8714ca81065d2c2c6e614a1ee6753de65cbe3412X_REFSOURCE_MISC
• github.com/intranda/goobi-viewer-core/releases/tag/v26.05X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 14:27VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.