- Son 7 gün
- CWE-89
- CWE-943
CVE-2026-55465
Goobi viewer'da konum arama parametresi nedeniyle Solr enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Goobi viewer, sayısallaştırılmış materyallerin bir web tarayıcısında görüntülenmesine olanak tanıyan bir web uygulamasıdır. 22.04 ile 26.05 öncesi sürümler arasında, kimlik doğrulaması gerektirmeyen GET /api/v1/index/{solrField}/spatial/search REST uç noktası, kullanıcı tarafından sağlanan region sorgu parametresini herhangi bir kaçış karakteri işlemi, yerel parametre temizleme veya çalışma zamanı şema denetimi olmadan doğrudan bir Solr sorgu dizesine ekler. (OpenAPI @Schema(pattern=...) açıklaması JAX-RS katmanında yalnızca belgelendirme amaçlıdır.) Bir saldırgan, Solr yerel parametre sözdizimini ({!parent ...}, {!join ...}) ve boolean operatörleri enjekte ederek erişimi kısıtlı coğrafi referanslı kayıtların sorguyla eşleşmesini sağlayabilir ve böylece erişim koşulu filtresini atlayabilir. Bu sorun 26.05 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 22.04 to before version 26.05, the unauthenticated REST endpoint GET /api/v1/index/{solrField}/spatial/search concatenates the user-supplied region query parameter directly into a Solr query string with no escaping, no local-param stripping, and no runtime schema enforcement (the OpenAPI @Schema(pattern=...) annotation is documentation-only at the JAX-RS layer). An attacker can inject Solr local-param syntax ({!parent ...}, {!join ...}) and boolean operators to make access-restricted georeferenced records match the query, bypassing the access-condition filter. This issue has been patched in version 26.05.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| intranda goobi-viewer-core | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.