- Yama var
- Son 7 gün
- CWE-20
- CWE-89
- CWE-943
CVE-2026-55444
Goobi viewer'da eski RSS servletinde Solr sorgu enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Goobi viewer, dijitalleştirilmiş materyallerin bir web tarayıcısında görüntülenmesine olanak tanıyan bir web uygulamasıdır. 26.05 sürümünden önce, eski RSS servleti (RssResolver, GET /rss/), q ve filterQuery parametrelerini doğrulama yapmadan Solr sorgularına ekleyerek birleştirmektedir. Bu servlet REST API katmanından daha eskidir ve GET /api/v1/records/rss üzerinde bulunan girdi doğrulamasından yoksundur. q ana sorgu gövdesini oluşturur ve yalnızca değişmez parantezlerle sarılmıştır; filterQuery ise doğrudan bir Solr fq olarak iletilir. Kimlik doğrulaması yapılmamış bir saldırgan, Solr boolean operatörleri enjekte ederek bu sarmalamadan çıkabilir ve sonda yer alan erişim koşulu filtre sorgusu ekini isteğe bağlı hale getirebilir; böylece erişime kısıtlı kayıtlar oluşturulan RSS beslemesine dahil edilir. q ve filterQuery parametreleri aynı servlet içindeki aynı temel açıklıktan kaynaklanmaktadır; q (ana sorgu gövdesi) daha geniş kapsama sahiptir. Bu sorun 26.05 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, the legacy RSS servlet (RssResolver, GET /rss/) accepts the q and filterQuery parameters and concatenates them into Solr queries without validation. The servlet predates the REST API layer and lacks the input validation present in GET /api/v1/records/rss. q forms the main query body (wrapped only in literal parentheses); filterQuery is passed directly as a Solr fq. An unauthenticated attacker can inject Solr boolean operators to break out of the wrapping and render the trailing access-condition filter-query suffix optional, so that access-restricted records are included in the generated RSS feed. The q and filterQuery parameters are the same underlying vulnerability in the same servlet; q (the main query body) has the broader scope. This issue has been patched in version 26.05.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | < 26.05 | 26.05 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.