CVE-2026-42591
WysokieStreszczenie
Gotenberg to API bezstanowe dla plików PDF, które przed wersją 8.32.0 przekazywało przesłane dokumenty bezpośrednio do LibreOffice, nie sprawdzając ich zawartości. LibreOffice samodzielnie pobierało wszelkie osadzone zewnętrzne adresy URL, co omijało filtry SSRF.
Ocena ryzyka
Organizacje mogą być narażone na ataki SSRF, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych. Wykorzystanie tej podatności może skutkować ujawnieniem wrażliwych danych.
Rekomendacja
Zaleca się aktualizację Gotenberga do wersji 8.32.0 lub nowszej, aby zlikwidować tę podatność. Dodatkowo warto wdrożyć dodatkowe kontrole bezpieczeństwa dla przesyłanych dokumentów.
Inne podatności w Gotenberg API
Zobacz wszystkie- CVE-2026-42594Wysokie
Gotenberg, API do plików PDF, ma podatność przed wersją 8.32.0, która może prowadzić do awarii procesu. Problem wynika z nieprawidłowego zarządzania kontekstem w przypadku równoległych żądań, co prowadzi do paniki w goroutine webhooka.
- CVE-2026-42596Krytyczne
Gotenberg to API do plików PDF, które przed wersją 8.31.0 miało lukę w funkcji downloadFrom oraz webhook. Domyślne listy blokad były podatne na obejście, co pozwalało nieautoryzowanym atakującym na dostęp do wewnętrznych usług HTTP.
- CVE-2026-42589Krytyczne
Gotenberg to API do plików PDF, które przed wersją 8.31.0 nie weryfikowało kluczy w obiektach JSON przesyłanych do punktu końcowego /forms/pdfengines/metadata/write. Wykorzystanie znaku nowej linii w kluczu JSON pozwala na wstrzyknięcie dowolnych flag ExifTool, co prowadzi do nieautoryzowanego wykonania poleceń systemowych.
- CVE-2026-40281Krytyczne
Gotenberg to API bezstanowe dla plików PDF, które w wersjach 8.30.1 i wcześniejszych nieprawidłowo waliduje wartości metadanych. Wartości te mogą zawierać znaki nowej linii, co pozwala na wstrzykiwanie dowolnych pseudo-znaczników ExifTool, co prowadzi do poważnych luk w bezpieczeństwie.
Oryginalny opis (angielski, źródło NVD)
Gotenberg is a Docker-powered stateless API for PDF files. Prior to 8.32.0, the LibreOffice conversion endpoint (/forms/libreoffice/convert) passes uploaded documents directly to LibreOffice without inspecting their content. LibreOffice then fetches any embedded external URLs on its own, completely bypassing the SSRF filters. This vulnerability is fixed in 8.32.0.