Goobi viewer Core: Reflected XSS über ungeprüften IIIF-Auth-2.0-Origin-Parameter
Zusammenfassung
Die IIIF-Auth-2.0-Endpunkte für Login und Token von Goobi viewer Core akzeptieren einen origin-Parameter ohne Prüfung und übernehmen ihn in den Content-Security-Policy-Header sowie in einen JavaScript-String der HTML-Antwort. Ein Angreifer kann einen präparierten Link erstellen, der Skripte im Ursprung des Viewers ausführt. Voraussetzung ist, dass ein Opfer den präparierten Link öffnet oder einbettet; dadurch kann auf die authentifizierte Sitzung des Opfers zugegriffen und Aktionen in dessen Namen ausgeführt werden.
Betroffen
- intranda Goobi viewer Core (io.goobi.viewer:viewer-core) ab 25.08 bis vor 26.05
- Versionsbereich gemäss GitHub-Advisory und CNA-Eintrag
Behoben in
- Upgrade auf Version 26.05 oder neuer
- Ein Backport auf ältere Versionszweige ist nicht bekannt.
Umgehung
- Reverse Proxy mit X-Frame-Options DENY und frame-ancestors 'self' blockiert die Auslieferung in fremden iframes und entschärft die fehlerhafte CSP-Header-Ausgabe; dies ist nur eine Teilmassnahme, da das Öffnen eines präparierten Links auf oberster Ebene nicht blockiert wird.
- Optional: Anfragen mit origin-Parameter an die Pfade auth/login und auth/token per WAF einschränken (nicht getestet, keine Herstellerquelle).
Ausnutzung
- Kein öffentlicher Proof of Concept bekannt.
- Keine Ausnutzung in freier Wildbahn bekannt; nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Goobi viewer im Einsatz ist und welche Version läuft.
- Bei Version 25.08 bis 26.04 ein Upgrade auf 26.05 oder neuer planen und durchführen.
- Bis zum Upgrade die Reverse-Proxy-Header anwenden und Anfragen mit origin-Parameter an die Auth-Endpunkte einschränken.
- Webprotokolle auf ungewöhnliche Anfragen an die Endpunkte auth/login und auth/token überwachen.
- Die Abweichung der Bewertungen beachten: CNA 9.3, VulDB 4.3. Falls das Produkt eingesetzt wird, zusammen mit weiteren Goobi-viewer-Advisories vom gleichen Tag bewerten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-975w-g9gj-xq48 github.com
- Fix commit 0e488c6b github.com
- Release v26.05 github.com
- Vulners CNA record CVELIST:CVE-2026-55486 vulners.com
- VulDB CVE-2026-55486 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.