- Son 7 gün
- CWE-306
- CWE-862
- CWE-1385
CVE-2026-55463
Goobi viewer'da WebSocket uç noktaları sunucu tarafı kimlik doğrulama ve Origin doğrulaması içermiyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Goobi viewer, dijitalleştirilmiş materyallerin bir web tarayıcısında görüntülenmesine olanak tanıyan bir web uygulamasıdır. 4.11.0 sürümünden 26.05 sürümünden önceki sürümlere kadar, goobi-viewer-core içindeki birkaç Jakarta WebSocket uç noktası (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint), ilgili HttpSession oturumunun oturum açmış bir kullanıcıya ait olup olmadığını doğrulamadan bağlantı kabul etmektedir. Ayrıca hiçbiri Origin başlığını bir izin listesine karşı doğrulamamaktadır. Bu nedenle kimliği doğrulanmamış bir saldırgan bu uç noktalara bağlanabilir. CampaignEndpoint üzerinden saldırgan, kitle kaynaklı çalışmalardaki sayfa kilitleme haritasını süreç içinde kirletebilir ve sahte kilit mesajları yayınlayabilir; bu da inceleyicilerin çalışmalarını aksatabilir. Sorun 26.05 sürümünde giderilmiştir. (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N, 6.5, MEDIUM)
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 4.11.0 to before version 26.05, several Jakarta WebSocket endpoints in goobi-viewer-core (DownloadTaskEndpoint, CampaignEndpoint, AutocompleteEndpoint, UserEndpoint) accept connections without verifying that the associated HttpSession belongs to a logged-in user, and none validate the Origin header against an allowlist. An unauthenticated attacker can therefore connect to these endpoints; through CampaignEndpoint this allows polluting the in-process crowdsourcing page-lock map and broadcasting forged lock messages, disrupting reviewers' work. This issue has been patched in version 26.05.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.