Kavita 認証不要でサーバー上の任意ファイルを読み取られる 悪用確認
Summary
Kavita 0.5.2 以上 0.5.4.1 未満に、パストラバーサルの脆弱性が見つかりました。認証を受けていない攻撃者が設定ファイルなどの任意のファイルを読み取れ、Shadowserver Foundation が 2023 年 10 月 18 日に悪用を確認しています。修正版の 0.5.4.1 に更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Kavita 0.5.2 以上 0.5.4.1 未満に、パストラバーサルの脆弱性が見つかりました。認証を受けていない攻撃者が設定ファイルなどの任意のファイルを読み取れ、Shadowserver Foundation が 2023 年 10 月 18 日に悪用を確認しています。修正版の 0.5.4.1 に更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Kareadita | Kavita |
≥ 0.5.2, < 0.5.4.1 |
0.5.4.1 |
Original description The description as published by the source.
Kavita 0.5.2 before 0.5.4.1 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files by supplying '../' sequences in the filename parameter. Attackers can send GET requests to /api/image/cover-upload with filename values like ../appsettings.json to retrieve configuration files outside the temp directory. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web huntr.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com