Kavita 0.5.2 before 0.5.4.1 contains a path traversal vulnerability that allows unauthenticated...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Kavita 0.5.2 以上 0.5.4.1 未満に、パストラバーサルの脆弱性が見つかりました。認証を受けていない攻撃者が設定ファイルなどの任意のファイルを読み取れ、Shadowserver Foundation が 2023 年 10 月 18 日に悪用を確認しています。修正版の 0.5.4.1 に更新してください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| Kareadita | Kavita |
≥ 0.5.2, < 0.5.4.1 |
0.5.4.1 |
Description d'origine La description telle que publiée par la source (souvent en anglais).
Kavita 0.5.2 before 0.5.4.1 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files by supplying '../' sequences in the filename parameter. Attackers can send GET requests to /api/image/cover-upload with filename values like ../appsettings.json to retrieve configuration files outside the temp directory. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory