CVE-2026-46347
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions de Goobi viewer antérieures à 26.05 constituent une application web utilisée pour afficher des documents numérisés dans des navigateurs. Le logiciel contient une faille dans son processus de réinitialisation de mot de passe, où les nouveaux mots de passe sont générés avec une entropie insuffisante. Le processus de génération étant prévisible, les mots de passe résultants peuvent être trouvés par force brute si l'attaquant sait approximativement quand la réinitialisation a été déclenchée.
Un attaquant peut ainsi obtenir un accès non autorisé complet au compte d'un utilisateur, compromettant la confidentialité et l'intégrité des données de ce compte. Cette attaque est difficile à exécuter car elle nécessite que la victime initie d'abord une réinitialisation de mot de passe et que l'attaquant devine avec précision le timing interne du serveur via les métadonnées réseau ou d'e-mail. Aucune authentification préalable n'est requise, mais l'exploitation nécessite cette interaction spécifique de l'utilisateur ainsi qu'un accès réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, when a password reset link is visited, the application generates a replacement password in a predictable way and emails it to the account holder. The insufficient entropy allows the password to be brute-forced by an attacker who can approximate the server-side generation time. Exploiting this finding in isolation requires the victim to have triggered the reset themselves and the attacker to infer the server time from network or email metadata. This issue has been patched in version 26.05.