- Son 7 gün
- CWE-306
- CWE-552
- CWE-918
CVE-2026-46651
Goobi viewer'da kimlik doğrulamasız SSRF ve yerel dosya ekleme açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden uzaktan istismar edilebilen ve kritik seviyede olarak değerlendirilen bir güvenlik sorunudur. Dijital kütüphane ve arşiv sisteminizde veri sızıntısı ve sistemin kontrolünün ele geçirilmesi riski taşır. Bu nedenle en kısa sürede güncelleme yapılması önerilir.
ÖzetTürkçe
Goobi viewer, dijitalleştirilmiş materyalleri web tarayıcısında görüntülemeye yarayan bir web uygulamasıdır. 24.03 ile 26.05 öncesi sürümlerde, DownloadTaskEndpoint WebSocket uç noktası (/tasks/download/monitor.socket) kimliği doğrulanmamış kullanıcılardan indirme isteklerini kabul etmektedir. Etkilenen ürün goobi-viewer-core bileşenidir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan sunucu üzerinden iç ağa veya dış adreslere istek gönderebilir (SSRF) ve sunucudaki yerel dosyalara erişerek bunları ekletebilir. Bu durum gizli bilgilerin sızmasına ve sistemin ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 24.03 to before version 26.05, the DownloadTaskEndpoint WebSocket endpoint (/tasks/download/monitor.socket) in goobi-viewer-core accepts download requests from unauthenticated users. This issue has been patched in version 26.05.
Ne yapmalı?
- Goobi viewer'ı 26.05 veya sonraki bir sürüme güncelleyin. Genel öneri
- Güncelleme yapılana kadar /tasks/download/monitor.socket WebSocket uç noktasına dış erişimi güvenlik duvarı veya ters vekil sunucu kuralıyla engelleyin. Genel öneri
- Güncelleme sonrası uygulamanın çalıştığını ve indirme görevlerinin beklendiği gibi işlediğini doğrulayın. Genel öneri
Ek önlemler
- Uygulama sunucusunun iç ağdaki hizmetlere ve yerel dosya sistemine erişimini en aza indirmek için ağ segmentasyonu ve dosya izinlerini sınırlandırın. Genel öneri
- WebSocket uç noktasına gelen bağlantı ve istek kayıtlarını izleyip olağandışı dış bağlantı veya dosya erişimi girişimlerini inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.