Gotenberg는 PDF 파일을 위한 Docker 기반의 상태 비저장 API입니다. 버전 8.30.1 이하에서는 메타데이터 쓰기 끝점이 제어 문자에 대한 메타데이터 키의 유효성을 검사하지만 메타데이터 값은 삭제되지 않은 상태로 유지됩니다. 메타데이터 값의 개행 문자는 ExifTool stdin 행을 두 개의 개별 인수로 분할하여 -FileName, -Directory, -SymLink 및 -HardLink와 같은 임의의 ExifTool 의사 태그를 삽입할 수 있도록 합니다. 이는 v8.30.1에 도입된 불완전한 키 삭제 수정 사항을 우회하는 것입니다. 안 우나
Gotenberg는 PDF 파일을 위한 Docker 기반의 상태 비저장 API입니다. 버전 8.30.1 이하에서는 메타데이터 쓰기 끝점이 제어 문자에 대한 메타데이터 키의 유효성을 검사하지만 메타데이터 값은 삭제되지 않은 상태로 유지됩니다. 메타데이터 값의 개행 문자는 ExifTool stdin 행을 두 개의 개별 인수로 분할하여 -FileName, -Directory, -SymLink 및 -HardLink와 같은 임의의 ExifTool 의사 태그를 삽입할 수 있도록 합니다. 이는 v8.30.1에 도입된 불완전한 키 삭제 수정 사항을 우회하는 것입니다. 인증되지 않은 공격자는 처리 중인 PDF의 이름을 바꾸거나 컨테이너 파일 시스템의 임의 경로로 이동하거나, 임의 파일을 덮어쓰거나, 임의 경로에 심볼릭 링크 및 하드 링크를 생성할 수 있습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 100.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 100.00 |
VPI 공식 vpi-v1 기준
| 소스 | CVSS 버전 | 기본 점수 | 심각도 | 벡터 문자열 | 평가일 |
|---|---|---|---|---|---|
| NVDNIST | 3.1 | 10.0 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H | 2026. 05. 13. |
| OSV3rd | 3.1 | 10.0 | CRITICAL |
| CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H |
| 2026. 05. 13. |