- Son 7 gün
- CWE-287
- CWE-345
CVE-2026-55459
Goobi viewer'da OpenID JWT hedef kitle (aud) doğrulaması eksik, kimlik doğrulama atlatılabilir
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Goobi viewer, dijitalleştirilmiş materyallerin bir web tarayıcısında görüntülenmesini sağlayan bir web uygulamasıdır. 25.01 sürümünden 26.05 sürümünden önceki sürümlere kadar, AuthenticationEndpoint.verifyOpenIdToken, doğrulayıcıyı JWT.require(algorithm).withIssuer(issuer).build biçiminde oluşturmakta ve kriptografik doğrulama sırasında aud talebini zorunlu kılmamaktadır. aud kontrolü bunun ardından, yalnızca tek dizeli aud değerlerini işleyen tek bir dize eşitliği karşılaştırmasıyla manuel olarak yapılmaktadır. Birden fazla RP'nin bulunduğu bir IdP kurulumunda, tek dizeli aud değeri görüntüleyicinin istemci kimliğiyle eşleşen ancak farklı bir güvenen taraf için düzenlenmiş bir token, kontrolden geçerek saldırganı token'ın sub değeri olarak kimliği doğrulanmış biri konumuna getirebilmektedir. Bu sorun 26.05 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.01 to before version 26.05, AuthenticationEndpoint.verifyOpenIdToken builds its verifier as JWT.require(algorithm).withIssuer(issuer).build() and does not enforce the aud claim during cryptographic validation. The aud check is performed manually afterwards via a single string-equality call, which only handles single-string aud values. In a multi-RP IdP setup, a token whose single-string aud matches the viewer's client ID but was issued for a different relying party passes the check and authenticates the attacker as the token's sub. This issue has been patched in version 26.05.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.