CVE-2026-46346
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions de Goobi viewer antérieures à la 26.05 sont concernées. Cette application web est utilisée pour afficher des documents numérisés dans un navigateur. La faille provient du fait que les jetons de réinitialisation de mot de passe sont générés en fonction de l'heure à laquelle la demande a été effectuée, ce qui les rend prévisibles.
Un attaquant peut utiliser l'adresse e-mail d'une cible pour demander une réinitialisation, puis tester massivement les combinaisons possibles (brute-force) pour trouver le jeton et détourner n'importe quel compte. Cela compromet l'intégrité et la disponibilité des comptes utilisateurs en permettant des modifications de mot de passe non autorisées. L'attaque est relativement simple à réaliser, ne nécessitant qu'un accès réseau sans aucune authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, the password reset token is predictably based on the time of the reset request. An attacker who knows the target's email address can request a reset and then brute-force the token. Exploiting this finding alone forces an unauthorized password reset on any account. This issue has been patched in version 26.05.