CVE-2026-42589
KrytyczneStreszczenie
Gotenberg to API do plików PDF, które przed wersją 8.31.0 nie weryfikowało kluczy w obiektach JSON przesyłanych do punktu końcowego /forms/pdfengines/metadata/write. Wykorzystanie znaku nowej linii w kluczu JSON pozwala na wstrzyknięcie dowolnych flag ExifTool, co prowadzi do nieautoryzowanego wykonania poleceń systemowych.
Ocena ryzyka
Atakujący może uzyskać dostęp do systemu operacyjnego poprzez wykonanie dowolnych poleceń, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Dodatkowo, odpowiedź ataku jest trudna do wykrycia, ponieważ zwraca ważny plik PDF.
Rekomendacja
Zaleca się aktualizację Gotenberga do wersji 8.31.0 lub nowszej, aby usunąć tę podatność. Należy również rozważyć dodatkowe mechanizmy monitorowania i weryfikacji danych wejściowych.
Inne podatności w Gotenberg API
Zobacz wszystkie- CVE-2026-42594Wysokie
Gotenberg, API do plików PDF, ma podatność przed wersją 8.32.0, która może prowadzić do awarii procesu. Problem wynika z nieprawidłowego zarządzania kontekstem w przypadku równoległych żądań, co prowadzi do paniki w goroutine webhooka.
- CVE-2026-42591Wysokie
Gotenberg to API bezstanowe dla plików PDF, które przed wersją 8.32.0 przekazywało przesłane dokumenty bezpośrednio do LibreOffice, nie sprawdzając ich zawartości. LibreOffice samodzielnie pobierało wszelkie osadzone zewnętrzne adresy URL, co omijało filtry SSRF.
- CVE-2026-42596Krytyczne
Gotenberg to API do plików PDF, które przed wersją 8.31.0 miało lukę w funkcji downloadFrom oraz webhook. Domyślne listy blokad były podatne na obejście, co pozwalało nieautoryzowanym atakującym na dostęp do wewnętrznych usług HTTP.
- CVE-2026-40281Krytyczne
Gotenberg to API bezstanowe dla plików PDF, które w wersjach 8.30.1 i wcześniejszych nieprawidłowo waliduje wartości metadanych. Wartości te mogą zawierać znaki nowej linii, co pozwala na wstrzykiwanie dowolnych pseudo-znaczników ExifTool, co prowadzi do poważnych luk w bezpieczeństwie.
Oryginalny opis (angielski, źródło NVD)
Gotenberg is a Docker-powered stateless API for PDF files. Prior to 8.31.0, Gotenberg's /forms/pdfengines/metadata/write HTTP endpoint accepts a JSON metadata object and passes its keys directly to ExifTool via the go-exiftool library. No validation is performed on key characters. A \n embedded in a JSON key splits the ExifTool stdin stream into a new argument line, allowing an attacker to inject arbitrary ExifTool flags — including -if, which evaluates Perl expressions. This achieves unauthenticated OS command execution in a single HTTP request. The response is HTTP 200 with a valid PDF, making the attack transparent to basic monitoring. This vulnerability is fixed in 8.31.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS