- Yama var
- Son 7 gün
- CWE-287
- CWE-1392
CVE-2026-55457
Goobi viewer'da boş webapi.authorization.token varsayılanı kimlik doğrulamasız yetki atlatmaya izin veriyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Goobi viewer, sayısallaştırılmış materyallerin bir web tarayıcısında görüntülenmesine olanak tanıyan bir web uygulamasıdır. 26.05 sürümünden önce, webapi.authorization.token yapılandırılmadığında Configuration.getWebApiToken metodu boş dize döndürmektedir. AuthorizationFilter, sağlanan belirteci bu varsayılan değerle karşılaştırırken yapılandırılmış belirtecin boş olmadığını önceden kontrol etmemektedir. Bu nedenle, @AuthorizationBinding ile korunan herhangi bir uç noktaya boş ?token= değeriyle yapılan istek kabul edilmektedir. Bu sorun 26.05 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, Configuration.getWebApiToken returns the empty string when webapi.authorization.token is not configured. AuthorizationFilter compares the supplied token against this default without first checking that the configured token is non-empty. A request to any @AuthorizationBinding-protected endpoint with an empty ?token= value is therefore accepted. This issue has been patched in version 26.05.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | < 26.05 | 26.05 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.