- Yama var
- Son 7 gün
- CWE-330
- CWE-340
- CWE-640
CVE-2026-46347
Goobi viewer'da tahmin edilebilir parola sıfırlama ssorunu hesap ele geçirmeye yol açıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Goobi viewer, dijitalleştirilmiş materyallerin bir web tarayıcısında görüntülenmesini sağlayan bir web uygulamasıdır. 26.05 sürümünden önce, bir parola sıfırlama bağlantısı ziyaret edildiğinde uygulama yerine geçecek parolayı tahmin edilebilir bir biçimde üretiyor ve bunu hesap sahibine e-posta ile gönderiyordu. Yetersiz entropi, saldırganın sunucu tarafındaki üretim süresini yaklaşık olarak tahmin edebilmesi durumunda parolanın kaba kuvvet yöntemiyle tahmin edilmesine olanak tanıyor. Bu bulgunun tek başına istismar edilmesi, kurbanın sıfırlama işlemini kendisinin başlatmış olmasını ve saldırganın sunucu zamanını ağ veya e-posta meta verilerinden çıkarabilmesini gerektiriyor. Bu sorun 26.05 sürümünde giderilmiştir. CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, when a password reset link is visited, the application generates a replacement password in a predictable way and emails it to the account holder. The insufficient entropy allows the password to be brute-forced by an attacker who can approximate the server-side generation time. Exploiting this finding in isolation requires the victim to have triggered the reset themselves and the attacker to infer the server time from network or email metadata. This issue has been patched in version 26.05.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | < 26.05 | 26.05 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.