CVE-2026-42589
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
3.0%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-42589 betrifft Gotenberg, eine Docker-basierte API für PDF-Dateien. Die Schwachstelle liegt im HTTP-Endpunkt /forms/pdfengines/metadata/write, wo eine fehlende Validierung von JSON-Metadaten-Schlüsseln die Injektion beliebiger ExifTool-Flags ermöglicht. Dies führt zu einer unauthentifizierten Ausführung von Betriebssystembefehlen mit einer einzigen HTTP-Anfrage. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Obwohl sie derzeit nicht in CISA KEV gelistet ist und die EPSS-Wahrscheinlichkeit bei 3% liegt, ermöglicht die unauthentifizierte OS-Befehlsausführung ein hohes Risiko für betroffene Systeme. Security-Teams sollten umgehend prüfen, ob Gotenberg in ihrer Umgebung eingesetzt wird. Eine Priorisierung des Patchens auf Version 8.31.0 oder höher ist dringend erforderlich, um das Risiko einer Kompromittierung zu minimieren. Da der Angriff für grundlegendes Monitoring transparent sein kann, sollten auch erweiterte Überwachungsmaßnahmen in Betracht gezogen werden.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Gotenberg is a Docker-powered stateless API for PDF files. Prior to 8.31.0, Gotenberg's /forms/pdfengines/metadata/write HTTP endpoint accepts a JSON metadata object and passes its keys directly to ExifTool via the go-exiftool library. No validation is performed on key characters. A \n embedded in a JSON key splits the ExifTool stdin stream into a new argument line, allowing an attacker to inject arbitrary ExifTool flags — including -if, which evaluates Perl expressions. This achieves unauthenticated OS command execution in a single HTTP request. The response is HTTP 200 with a valid PDF, making the attack transparent to basic monitoring. This vulnerability is fixed in 8.31.0.
GitHub Advisories
Gotenberg has Unauthenticated RCE via ExifTool Metadata Key Injection