Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79
  • CWE-113
  • CWE-1336

CVE-2026-55486

Goobi viewer IIIF Auth 2.0 origin parametresi doğrulanmıyor: CSP bozulması ve yansıtılmış XSS

intranda goobi-viewer-core

Kritik 9,3 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
5 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açıklık, kütüphane ve arşiv gibi dijital içerik sunan sistemlerde kullanıcıların bilgilerini ele geçirilebilecek bir saldırı yüzeyi oluşturmaktadır. Etkilenen sürümler kullanılıyorsa, sistem yöneticilerinin bu güvenlik güncellemesini hemen uygulaması önerilir.

ÖzetTürkçe

Goobi viewer, dijitalleştirilmiş materyallerin web tarayıcısında gösterilmesini sağlayan bir web uygulamasıdır. 25.08 sürümünden 26.05 öncesine kadar olan sürümlerde IIIF Auth 2.0 uç noktaları (auth/login ve auth/token) origin sorgu parametresini doğrulamadan kabul etmektedir. Bu değer hem Content-Security-Policy frame-ancestors başlığına hem de HTML yanıtındaki JavaScript postMessage argümanına kaçışlanmadan eklenmektedir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın tarayıcısında kendi betiğini çalıştırabilir ve bu sayede oturum bilgilerine erişebilir ya da sayfa içeriğini değiştirebilir. Saldırgan akışı başlattığı için kurbanın tıklaması yeterli olabilir.

Kaynaktaki açıklama (İngilizce)

The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.08 to before version 26.05, the IIIF Auth 2.0 endpoints auth/login and auth/token in AuthorizationFlowResource accept an origin query parameter without validation and then (1) embed it into the Content-Security-Policy: frame-ancestors response header and (2) embed it into an HTML response body as a JavaScript single-quoted postMessage argument. Because the attacker controls both the login and token calls that initiate the flow, the unescaped value yields reflected XSS. This issue has been patched in version 26.05.

Ne yapmalı?

  1. Goobi viewer uygulamasını 26.05 veya daha yeni bir sürüme yükseltin. Genel öneri
  2. Güncelleme sonrası uygulamanın çalıştığını ve IIIF kimlik doğrulama akışlarının beklendiği gibi işlediğini kontrol edin. Genel öneri

Ek önlemler

  • Sunucu ve uygulama erişim günlüklerinde auth/login ve auth/token uç noktalarına yönelik olağandışı, şüpheli sorgu parametrelerini izleyin. Genel öneri
  • Yetkili oturumların çalındığından şüphelenirseniz kullanıcı oturumlarını sonlandırın ve parolaları yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
intranda goobi-viewer-core Sürüm belirtilmemiş –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.