Goobi viewer: Path Traversal über Content-Disposition ermöglicht Codeausführung

Zusammenfassung

Goobi viewer core ab 24.03 vor 26.05 übernimmt den Zieldateinamen heruntergeladener externer Dateien aus dem Content-Disposition-Header der Antwort des Remote-Servers, ohne Verzeichniskomponenten zu entfernen. Ein bösartiger HTTP-Server, von dem der Viewer lädt, kann dadurch Dateien an beliebige, für den Tomcat-Prozess schreibbare Pfade schreiben. Wird das bereitgestellte Webanwendungsverzeichnis beschrieben, resultiert daraus Remote Code Execution als Tomcat-Benutzer. Die Schwachstelle ist als kritisch eingestuft (CVSS 9.8); der Angreifer muss erreichen, dass der Viewer eine Datei von einem vom Angreifer kontrollierten Server lädt.

Betroffen

• intranda goobi-viewer-core ab 24.03 bis vor 26.05

Behoben in

• Auf goobi-viewer-core 26.05 oder neuer aktualisieren

Umgehung

• Für den Path Traversal ist keine Workaround dokumentiert.
• Die Einschränkung ausgehender HTTP-Verbindungen des Viewer-Hosts auf bekannte Quellen verringert das Risiko, bietet aber nur eine teilweise Minderung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• EPSS 0.00703 (niedrig).

Unsere Empfehlung

• Prüfen, ob goobi-viewer-core installiert ist und welche Version läuft.
• Bei Einsatz einer betroffenen Version Aktualisierung auf 26.05 prioritär durchführen.
• Tomcat mit minimalen Dateiberechtigungen betreiben, sodass kein Schreibzugriff auf das Webanwendungsverzeichnis besteht.
• Ausgehende HTTP-Verbindungen des Viewer-Hosts einschränken.
• Das bereitgestellte Webanwendungs- und Tomcat-Verzeichnis auf unerwartete Dateien prüfen.
• Zusätzlich die Exponierung gegenüber dem verwandten CVE-2026-46651 prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-r386-2frm-w3v6 (vendor advisory) github.com
• Release v26.05 github.com
• Fix commit 5281245 github.com
• VulDB CVE-2026-46652 vuldb.com
• GHSA-79jg-3m2m-jgc8 (sibling advisory) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:42.