PT-2026-122133

CVE-2026-55463

Publicado

2026-10-23

Atualizado

2026-10-23

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Goobi viewer versões 4.11.0 até 26.04

Descrição Diversos endpoints de Jakarta WebSocket no goobi-viewer-core, especificamente 'DownloadTaskEndpoint', 'CampaignEndpoint', 'AutocompleteEndpoint' e 'UserEndpoint', aceitam conexões sem verificar se a HttpSession associada pertence a um usuário autenticado. Além disso, esses endpoints não validam o cabeçalho Origin em relação a uma lista de permissões. Isso permite que um invasor não autenticado se conecte a esses endpoints. Especificamente, através do 'CampaignEndpoint', um invasor pode poluir o mapa de bloqueio de página de crowdsourcing em processamento e transmitir mensagens de bloqueio forjadas, interrompendo o trabalho dos revisores.

Recomendações Atualize o Goobi viewer para a versão 26.05.

Explorabilidade

Exploit

Correção

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function

CWE-862: Missing Authorization

CWE-1385: Missing Origin Validation in WebSockets

Identificadores relacionados