Traversée de chemin dans aqt (CVE-2026-58266)
Résumé
Traversée de chemin dans aqt (CVE-2026-58266). Des informations confidentielles peuvent être exposées. Exploitable via getImageForOcclusion. Atténuation : mise à jour vers 25.9.4 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Anki's webview-based pages communicate with the Rust backend using an internal localhost API. Anki implements measures to prevent user scripts run in the reviewer/editor from accessing this API (https://github.com/ankitects/anki/pull/3925) but it inadvertently allows access to scripts included via iframes in the editor. While overall only a limited set of API methods are exposed, some such as getImageForOcclusion can read arbitrary files.
CWE: CWE-22 (Path Traversal)
Reporter: Bankde (Eakasit)
Affected Products
| Ecosystem | Package | Affected Versions |
|---|---|---|
| PyPI | aqt |
<= 25.09.3 |
Impact
Any desktop Anki user (Windows, macOS, Linux) who imports an untrusted .apkg and views card with an embedded iframe is vulnerable. No special configuration is required. The attacker can read any file accessible to the Anki process and exfiltrate its contents over the network.
Patches
A patch is available in 25.09.4
Workarounds
- Do not import
.apkgfiles from untrusted sources. - Inspect
.apkgcontents (it's a ZIP) for.html/.svgfiles with `` tags before importing. - Block unexpected outbound network requests from the Anki process at the firewall level.
References
- Vulnerability report: Anki arbitrary file read vulnerability (with exfiltration) — Bankde (Eakasit)
- Affected source: [
qt/aqt/mediasrv.py::_handle_local_file_request](https://github.com/ankitects/anki/blob/5…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-58266 a été découverte dans aqt.
Des attaquants peuvent cibler un point d'entrée spécifique comme getImageForOcclusion à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.5/10.
Action : mettez à jour aqt vers 25.9.4 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « aqt CVE-2026-58266 » sur le site de l'éditeur.
CVE-2026-58266 (aqt) — CWE-22 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : getImageForOcclusion / aqt
Correctif : 25.9.4 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une traversée de chemin (CWE-22) affecte aqt. Les attaquants atteignent le code vulnérable via getImageForOcclusion sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de aqt. Surface d'attaque : getImageForOcclusion / aqt.
Gravité : Moyenne (CVSS 6.5/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 25.9.4.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'aqt' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
aqtを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade aqt to 25.9.4ステージング環境で 25.9.4 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Ubuntu UBUNTU-CVE-2026-58266 anki
Références
- package github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web github.com