CVE-2026-55486
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
Les versions 25.08 à 26.04 de Goobi viewer permettent l'affichage de documents numérisés dans les navigateurs web. Le logiciel ne valide pas le paramètre de requête « origin » dans ses points de terminaison d'authentification (login et token). Cela permet à un attaquant d'injecter des scripts malveillants dans l'en-tête Content-Security-Policy et dans le corps de la réponse HTML.
Un attaquant peut utiliser cette faille pour mener une attaque de cross-site scripting (XSS) réfléchie, permettant potentiellement de voler des cookies de session ou de modifier le contenu de la page pour tromper les utilisateurs. Cela compromet à la fois la confidentialité et l'intégrité. L'exécution est relativement facile via le réseau et ne nécessite aucune authentification, bien qu'elle nécessite qu'une victime clique sur un lien spécifiquement conçu.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. From version 25.08 to before version 26.05, the IIIF Auth 2.0 endpoints auth/login and auth/token in AuthorizationFlowResource accept an origin query parameter without validation and then (1) embed it into the Content-Security-Policy: frame-ancestors response header and (2) embed it into an HTML response body as a JavaScript single-quoted postMessage argument. Because the attacker controls both the login and token calls that initiate the flow, the unescaped value yields reflected XSS. This issue has been patched in version 26.05.