CVE-2026-55459
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions 25.01 à 26.04 de Goobi viewer sont concernées. Ce logiciel est utilisé pour afficher des documents numérisés dans un navigateur web. La faille provient du fait que l'application ne valide pas correctement la revendication « audience » (aud) au sein des jetons OpenID Connect, s'appuyant sur une simple comparaison de chaînes de caractères qui ne prend pas en compte les configurations complexes de fournisseurs d'identité.
Un attaquant peut contourner l'authentification pour se connecter en tant qu'autre utilisateur, compromettant ainsi la confidentialité et l'intégrité du système. Cela nécessite un accès réseau, mais l'exécution est considérée comme difficile car elle requiert une configuration spécifique du fournisseur d'identité avec plusieurs parties dépendantes. Aucune interaction de l'utilisateur ni aucun identifiant préalable ne sont nécessaires pour exploiter cette faille.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.01 to before version 26.05, AuthenticationEndpoint.verifyOpenIdToken builds its verifier as JWT.require(algorithm).withIssuer(issuer).build() and does not enforce the aud claim during cryptographic validation. The aud check is performed manually afterwards via a single string-equality call, which only handles single-string aud values. In a multi-RP IdP setup, a token whose single-string aud matches the viewer's client ID but was issued for a different relying party passes the check and authenticates the attacker as the token's sub. This issue has been patched in version 26.05.