آسیب‌پذیری بحرانی جدیدی در نرم‌افزار Goobi viewer کشف شده است که می‌تواند امنیت اپلیکیشن‌های مبتنی بر این پلتفرم را به خطر بیندازد. Goobi viewer یک اپلیکیشن تحت وب (Web Application) است که برای نمایش محتوای دیجیتالی‌شده در مرورگر استفاده می‌شود.
جزئیات فنی آسیب‌پذیری
در نسخه‌های 25.08 تا قبل از 26.05، نقاط انتهایی (endpoints) مربوط به IIIF Auth 2.0 شامل auth/login و auth/token در منبع AuthorizationFlowResource، پارامتر پرس‌وجوی (query parameter) origin را بدون هیچ‌گونه اعتبارسنجی دریافت می‌کنند.
این نقص امنیتی به مهاجم اجازه می‌دهد تا پارامتر مذکور را در دو بخش کنترل کند:
- اول، تزریق آن به هدر پاسخ Content-Security-Policy: frame-ancestors.
- دوم، قرار دادن آن در بدنه پاسخ HTML به عنوان یک آرگومان تک‌کوتیشن (single-quoted) برای تابع postMessage در جاوااسکریپت.
از آنجایی که مهاجم کنترل کامل بر این پارامتر دارد، می‌تواند از این طریق سیاست‌های امنیتی مرورگر را دور زده و حملات مربوط به تزریق کد (XSS) یا دور زدن محدودیت‌های CSP را اجرا کند.
