Manchete · CyberSec & CVEs
RCE crítica no Gotenberg via ExifTool (CVE-2026-42589)
ThreatsDay: Critical Firewall Flaws, Banking Trojans Rented, Weaponized PDF, Token Theft + 26 More Stories
CVE-2026-42589: RCE não autenticada em Gotenberg — Severity Critical 9.8.
Gotenberg 8.29.1 tem RCE não autenticada via ExifTool Metadata Key Newline Injection (CVE-2026-42589, Severity Critical 9.8). O endpoint /forms/pdfengines/metadata/write repassa chaves JSON diretamente ao go-exiftool sem validar caracteres de controle; um \n em uma key quebra o stdin do ExifTool e permite flags como -if que avaliam Perl, resultando em execução de comandos remota. A exploração retorna HTTP 200 com PDF válido e roda como uid=1001(gotenberg) (imagem Docker padrão pode incluir grupo root), possibilitando leitura/escrita de arquivos, shells e pivot. Remédio recomendado: rejeitar chaves que contenham control characters (por exemplo \n \r \x00) no handler de metadata, colocar Gotenberg atrás de um reverse proxy autenticado e nunca expor a porta 3000 diretamente a redes não confiáveis.
- #gotenberg
- #exiftool
- #go
- #docker