anchore_overrides,nvd

Thecodingmachine

Уязвимости

Эксплуатируемые

Критический

Высокий

Топ продуктов

Топ уязвимостей

CVE-2026-42589Gotenberg - это API без состояния Docker для PDF-файлов. До 8.31.0 конечная точка Готенберга /формы/pdfengines/metadata/write HTTP-конечная точка принимает объект метаданных JSON и передает его ключи непосредственно в ExifTool через библиотеку go-exiftool. Никакая проверка не выполняется на ключевых персонажах. A \n, встроенный в клавишу JSON, разделяет поток ExifTool на новую линию аргументации, позволяя злоумышленнику вводить произвольные флаги ExifTool, в том числе -if, который оценивает выражения Perl. Это обеспечивает неаутентированное выполнение команды ОС в одном HTTP-запросе. Ответ HTTP 200 с действительным PDF-файлом, что делает атаку прозрачной для базового мониторинга. Эта уязвимость зафиксирована в 8.31.0.

CVE-2020-13452В Gotenberg до версии 6.2.1 небезопасные разрешения для tini (доступные для записи пользователем gotenberg) потенциально позволяют злоумышленнику перезаписать файл, что может привести к отказу в обслуживании или выполнению кода.

CVE-2020-13451Уязвимость неполной очистки в механизме рендеринга Office Gotenberg до версии 6.2.1 позволяет злоумышленнику перезаписывать файлы конфигурации LibreOffice и выполнять произвольный код через макросы.

CVE-2020-13450Уязвимость обхода каталогов в функции загрузки файлов Gotenberg до версии 6.2.1 позволяет злоумышленнику загружать и перезаписывать любые доступные для записи файлы за пределами предполагаемой папки. Это может привести к отказу в обслуживании, изменению поведения программы или выполнению кода.

CVE-2026-42596Gotenberg - это API без состояния Docker для PDF-файлов. До 8.31.0 списки отказов по умолчанию, используемые функцией Gotenberg downloadF и функцией webhook, являются обойденными. Поскольку фильтр основан на регексе и чувствителен к регистру, неаутентированный злоумышленник может предоставить URL-адреса, такие как http://[::ffff:127.0.0.1]:..., и достичь локбека или частных HTTP-сервисов, которые предназначен для блокировки списка отрицания по умолчанию. Это пересекает реальную границу безопасности, потому что внешний абонент может заставить сервер делать исходячные запросы только внутренним целям. Эта уязвимость зафиксирована в 8.31.0.

CVE-2026-40281Gotenberg - это API без состояния Docker для PDF-файлов. В версиях 8.30.1 и ранее, фамильные данные записали конечную точку метаданных для контрольных символов, но оставляют значения метаданных недезинфицированными. Новый символ в значении метаданных разделяет линию ExifTool на два отдельных аргумента, позволяя инъекции произвольных псевдометок ExifTool, таких как -FileName, -Directory, -SymLink и -HardLink. Это обход неполного фиксации ключей-санитизации, введенного в v8.30.1. Неаутентифицированный злоумышленник может переименовать или переместить любой обрабатываемый PDF-файл в произвольном пути в файловой системе контейнера, перезаписать произвольные файлы или создать символические ссылки и жестовые ссылки на произвольных путях.

CVE-2026-35458Gotenberg - это API для конвертации форматов документов. В 8.29.1 и ранее Gotenberg использует dlclark/regexp2 для компиляции пользовательских шаблонов объема без установления надлежащего тайм-аута. Пользователи, имеющие доступ к функциям, использующие эту логику, могут повесить работников на неопределенный срок.

CVE-2026-42595Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0 конечная точка Хрома Готенберга Хрома-к-PDF (/формы/хромий/конверт/урл) не имеет защиты по умолчанию от SSRF на основе HTTP/HTTPS. Регекс по умолчанию только блокирует файл / URIs. Неаутентированный злоумышленник может наводить Chromium на любой внутренний IP, включая петлевой откидки, диапазоны RFC 1918 и конечные точки метаданных облака, и получать ответ, отображаемый в формате PDF. Кроме того, даже когда операторы настраивают пользовательские списки отказа, защита обходит через перенаправления HTTP. Пример Хромия Гетенберга следует за 302 перенаправлениями с контролируемого злоумышленником внешнего URL-адреса на внутренние цели без повторной валидации места назначения перенаправления по списку отрицания. Эта уязвимость фиксируется в 8.32.0.

CVE-2026-42591Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0 конечный пункт преобразования LibreOffice (/формы/libreoffice/convert) передает загруженные документы непосредственно в LibreOffice без проверки их содержания. Затем LibreOffice самостоятельно заполняет любые встроенные внешние URL-адреса, полностью минуя фильтры SSRF. Эта уязвимость исправлена в 8.32.0.

CVE-2026-42590Gotenberg - это API без состояния Docker для PDF-файлов. До 8.30.0 блок-лист метаданных ExifTool в Gotenberg можно обойти с помощью синтаксиса префикса группового префикса ExifTool, что позволяет создавать на сервере произвольный переименование, перемещение, жесткие ссылки и создание символической ссылки. ExifTool поддерживает синтаксис групповых префиксов, где File:FileName обрабатывается одинаково с FileName - префикс удаляется SetNewValue в Writer.pl перед сопоставлением тегов. SafeKeyPattern regex (^[a-zA-Z0-9\-_.:]+$) позволяет колониализировать, поэтому префиксированные имена тегов проходят валидацию. Любой префикс работает: Файл:ФайлНазвание, Система:Справочник, a:HardLink и т.д. Кроме того, псевдо-теги FilePermission, FileUserID и FileGroupID вообще не блокируются и могут изменять атрибуты файлов без каких-либо префиксов. Эта уязвимость исправлена в 8.30.0.

CVE-2026-40893Gotenberg - это API без состояния Docker для PDF-файлов. До 8.31.0 Готенберг проверяет только то, является ли тег точно FileName, поэтому System:FileName проскальзывает прямо, и ExifTool с радостью переименовывает файл. Это позволяет удаленным злоумышленникам перемещать, переименовывать и изменять разрешения для произвольных файлов. Эта уязвимость зафиксирована в 8.31.0.

CVE-2026-40280Gotenberg - это инструмент преобразования документов на основе API. В версиях 8.30.1 и ранее в списках отрицания private-IP по умолчанию для - webhook-deny-list и -api-download-from-deny-list флагов используются чувствительное к случаю регулярное выражение (^https?://) для сопоставления схем URL. Поскольку Go net/url.Parse() нормализует схему, чтобы спустить, прежде чем устанавливать исходящее соединение TCP, злоумышленник может обойти список отказа, просто заглавив часть схемы URL (например, HTTP://, HTTPS:// или Http://). Это позволяет неаутентифицированным запросам достигать внутренних сетевых служб, включая частные диапазоны IP, адреса локбека и конечные точки метаданных об облачных экземплярах, такие как HTTP://169.254.169.254/latest/meta-data/. Это обходит тот же контроль безопасности, который был исправлен в CVE-2026-27018. Эта проблема исправлена в версии 8.31.0.

CVE-2026-27018Gotenberg - это API для преобразования форматов документов. До версии 8.29.0 исправление, введенное для CVE-2024-21527, можно обойти с помощью смешанных или прописных URL-схем. Этот вопрос был исправлен в версии 8.29.0.

CVE-2026-42594Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0 промежуточное повествование Webhook порохает, которая содержит ссылку на эхо запроса.Контекст после того, как синхронный обработчик возвращает ErrAyncProcess, а Echo перерабатывает контекст обратно в свой sync.Pool. Когда одновременной запрос требует переработанный контекст, c.Reset() очищает магазин. Если webhook goroutine достигает hardTimeoutMiddleware в этот момент, неконтролируемое утверждение типа на входе в нулевой магазин паника выходит за рамки любого восстановившегося () объема, разбивая процесс Готенберга. Любой анонимный абонент достигает пути webhook (по умолчанию webhook-defy-list фильтрует только пункт назначения веб-крючка, а не отправителя). Одноисточник стресса ~ 24 запросов веб-хука плюс ~60 запросов GET /version сбивает процесс примерно за две секунды. Эта уязвимость фиксируется в 8.32.0.

CVE-2020-14160Уязвимость SSRF в Gotenberg до версии 6.2.1 существует в удаленном URL для преобразования в PDF, что позволяет удаленному злоумышленнику читать локальные файлы или получать ресурсы интрасети.

CVE-2020-13449Уязвимость обхода каталогов в механизме Markdown Gotenberg до версии 6.2.1 позволяет злоумышленнику читать любые файлы контейнера.

CVE-2026-39383Gotenberg - это инструмент преобразования документов на основе API. В версии 8.29.1 неаутентированный злоумышленник с доступом к сети может заставить сервер делать исходящие HTTP-запросы на произвольные внутренние или внешние пункты назначения, предоставляя созданный URL-адрес в заголовке запроса Gotenberg-Webhook-Url. Функция FilterDeadline в filter.go предназначена для выхода исходящих URL-адресов, но когда список разрешений и список отказов пусты (конфигурация по умолчанию), она безоговорочно возвращается и разрешает любой URL. Это слепой SSRF: Gotenberg POST преобразует конвертированный документ в URL-адрес веб-хука и проверяет, является ли код состояния ответа ошибкой, но никогда не возвращает тело ответа цели злоумышленнику. Злоумышленник может использовать это для зондирования внутренней сетевой инфраструктуры, наблюдая, вызывает ли обратный вызов ошибки, запрашивать POST против внутренних служб, которые выполняют побочные эффекты, и подтвердив достижимость конечных точек облачных метаданных. Ресурдируемый HTTP-клиент выдает до 4 автоматических повторов за запрос, усиливая каждый зонд. Эта проблема исправлена в версии 8.31.0. В качестве обходного пути настройте переменную среды GOTENBERG_API_WEBHOOK_ALLOW_LIST, чтобы ограничить URL-адреса вебкхук известными приемниками, или установите GOTENBERG_API_WEBHOOK_DENY_LIST для блокировки диапазонов RFC-1918 и локальных адресов ссылок.

CVE-2020-14161Возможна инъекция HTML и/или JavaScript в преобразование HTML в PDF в Gotenberg до версии 6.2.1 через конечную точку /convert/html.

CVE-2026-42597Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0 маршруты /forms/chromium/convert/url и /forms/chromium/screenshot/url принимают url=file://tmp/... от анонимных звонков. Список отказа Chromium намеренно освобождает файл:///tmp/, поэтому маршруты HTML/Markdown могут загружать свои собственные запрашиваемые локальные активы, и эти маршруты применяют защиту по запросу ДопущенныйФайлPrefixes для определения объема чтения. Маршруты URL никогда не задавались разрешеннымиPrefixs, поэтому охрана прицела бесшумно пропускает. Алиса перечисляет /tmp/, ходит по рабочим каталогам Готенберга по запросу и считывает необработанные исходные файлы других преобразований в полете как визуализированный выход PDF. Эта уязвимость исправлена в 8.32.0.

CVE-2026-42593Gotenberg - это API без состояния Docker для PDF-файлов. До 8.32.0, pdfengines/merge, pdfengines/split, libreoffice/convert, chromium/convert/url, chromium/convert/html, и chromium/convert/markdown принимают штампуSource=pdf + stampExpression=/path and watermarkSource=pdf + watermarkExpression=/path. Выделенные маршруты штампа/водяных знаков требуют загруженного файла, когда тип источника - изображение или pdf; эти шесть маршрутов перезаписывают выражение только при загрузке файла, оставляя контролируемый пользователем путь нетронутым, когда файл не прикреплен. pdfcpu открывает путь и композит свои страницы на вывод PDF, который возвращается вызываю. Злоумышленник читает любой PDF-файл, к который процесс Готенберг может получить доступ в файловой системе контейнера. Эта уязвимость фиксируется в 8.32.0.

CVE-2026-42592Gotenberg - это API без состояния Docker для файлов PDF. До 8.32.0 FilterOutboundURL разрешает имя хоста, проверяет разрешенные IP-адреса по списку отказа в частном адресе и возвращает только ошибку. Он отбрасывает решенные адреса. Chromium позже выполняет свое собственное разрешение DNS, когда он переходит к URL. Атакующий, который контролирует DNS для имени хоста с коротким TTL, возвращает публичный IP-адрес на первом запросе (позволяет Готенберг) и частный IP на втором запросе (Chromium подключается к выбранному злоумышленником внутреннему адресу). Обработчик CDP Fetch.requestPaused повторно проверяет URL-адрес, но запускает свое собственное разрешение DNS, оставляя окно синхронизации до фактического подключения TCP Chromium. Выполненный внутренний ответ на обслуживание возвращается звонителю в формате PDF. Эта уязвимость исправлена в 8.32.0.

CVE-2021-23345Все версии пакета github.com/thecodingmachine/gotenberg подвержены уязвимости Server-side Request Forgery (SSRF) через конечную точку /convert/html, когда атрибут src элемента HTML ссылается на внутренний системный файл, например, <iframe src='file:///etc/passwd'>.

Открыть в каталоге с фильтром по вендору →