- Son 7 gün
- CWE-22
- CWE-73
CVE-2026-46652
Goobi viewer: Content-Disposition başlığı üzerinden yol geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, sisteme dışarıdan dosya indiren uygulamaların bir saldırgan tarafından kötü amaçlı dosyalarla kandırılmasına izin verir ve sunucunun tamamen ele geçirilmesine yol açabilir. CVSS puanı kritik seviyededir (9.8), bu nedenle sunucuda uygulamayı mümkün olan en kısa sürede güncellemek gerekir.
ÖzetTürkçe
Goobi viewer, dijitalleştirilmiş materyallerin web tarayıcısında görüntülenmesini sağlayan bir web uygulamasıdır. 24.03 sürümünden 26.05 öncesine kadar olan sürümlerde ExternalFilesDownloader sınıfı, uzak bir HTTP sunucusundan gelen Content-Disposition yanıt başlığındaki dosya adını dizin bileşenlerini temizlemeden doğrudan kullanmaktadır. Bu nedenle dış kaynaklardan dosya indiren kurulumlar etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, Tomcat sürecinin yazabildiği herhangi bir yola kendi içeriğini yazabilir. Uygulama dizini hedeflenirse bu durum Tomcat OS kullanıcısı yetkisiyle uzaktan kod çalıştırmaya yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 24.03 to before version 26.05, ExternalFilesDownloader.getFilename() extracts the destination filename from a server-supplied Content-Disposition response header and passes it directly to Path.resolve() without stripping directory components. This allows for a malicious HTTP server that the viewer fetches from to supply an absolute path or ../ traversal sequences as the filename, writing attacker-controlled content to an arbitrary path writable by the Tomcat process. When targeting the deployed web-application directory, this yields remote code execution as the tomcat OS user. This issue has been patched in version 26.05.
Ne yapmalı?
- Goobi viewer uygulamasını 26.05 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Güncelleme yapılana kadar uygulamanın dış HTTP kaynaklarından dosya indirme özelliğini mümkünse devre dışı bırakın veya dosya indirmeyi yalnızca güvenilen kaynaklarla sınırlandırın. Genel öneri
- Tomcat sürecinin yalnızca gerekli dizinlere yazma izni olduğundan emin olun; uygulama dizinine yazma yetkisini kaldırın. Genel öneri
Ek önlemler
- Sunucudaki uygulama dizinlerinde beklenmeyen dosya oluşturulup oluşturulmadığını düzenli olarak kontrol edin. Genel öneri
- Tomcat sürecini ayrıcalıksız bir kullanıcıyla çalıştırın ve dosya sistemi izinlerini en az yetki ilkesine göre sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.