CVSS 9.0 以上
CVE-2026-46652
要約
Goobi viewerのバージョン24.03から26.05より前では、ExternalFilesDownloader.getFilename()がサーバーから送られるContent-Dispositionヘッダーからファイル名を取り出し、ディレクトリ部分を除去せずにPath.resolve()へ渡しています。このため、viewerが取得先とする悪意あるHTTPサーバーが絶対パスや../を含むファイル名を指定でき、Tomcatプロセスが書き込める任意のパスに攻撃者の制御する内容を書き込めるとされています。デプロイ済みのウェブアプリケーションのディレクトリが対象の場合、tomcat OSユーザーとしてリモートコード実行が可能になり、この問題はバージョン26.05で修正されています。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Goobi viewerApache TomcatHTTP
このタグの新着を RSS で受け取る: Goobi viewer / Apache Tomcat / HTTP(使い方)
判定の理由
- CVSS 9.0 以上