PT-2026-37106 · Go+2 · Github.Com/Gotenberg/Gotenberg/V8+1
Anuragbathani
·
Publicado
2026-05-04
·
Atualizado
2026-05-14
·
CVE-2026-40893
CVSS v3.1
8.2
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L |
Nome do Software Vulnerável e Versões Afetadas
Gotenberg versões anteriores a 8.31.0
Descrição
O Gotenberg não valida adequadamente as tags de metadados passadas para o ExifTool, uma ferramenta utilizada para ler e escrever metadados de imagem, áudio e vídeo. Embora o software bloqueie tags específicas como
FileName e Directory para evitar a manipulação não autorizada de arquivos, ele não considera prefixos de grupo. Um invasor pode usar System:FileName ou System:Directory para burlar essas verificações, pois o sistema realiza apenas uma correspondência exata com os nomes bloqueados. Além disso, a tag FilePermissions está completamente ausente da lista de bloqueio.Isso permite que invasores remotos movam, renomeiem e alterem permissões de arquivos arbitrários dentro do contêiner por meio de uma única requisição HTTP sem autenticação. Este problema afeta todos os endpoints que aceitam o campo
metadata, incluindo:- '/forms/chromium/convert/html'
- '/forms/libreoffice/convert'
- '/forms/pdfengines/merge'
- '/forms/pdfengines/metadata/write'
Os parâmetros vulneráveis incluem
System:FileName, System:Directory e FilePermissions dentro do campo metadata.Recomendações
Atualize o Gotenberg para a versão 8.31.0.
Como medida paliativa temporária, restrinja o acesso ao parâmetro
metadata em todos os endpoints de API afetados para minimizar o risco de exploração.Exploit
Correção
RCE
Incomplete List of Disallowed Inputs
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Github.Com/Gotenberg/Gotenberg/V8
Gotenberg