CVE-2026-44776
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Kavita, serwer do czytania komiksów, ma podatność w endpointach do pobierania i sprawdzania rozmiaru plików. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do treści z bibliotek, do których nie ma przypisania, jeśli zna identyfikatory rozdziałów, tomów lub serii.
Ocena ryzyka
Osoba atakująca może pobrać pełne pliki, sprawdzić rozmiary i odczytać metadane treści, do których nie powinna mieć dostępu, co narusza poufność danych.
Rekomendacja
Zaleca się aktualizację Kavity do wersji 0.9.0 lub nowszej.
Inne podatności w Kavita
Zobacz wszystkie- CVE-2026-47202Krytyczne
Podatność nieprawidłowej walidacji tokenów w Kavita przed wersją 0.9.0.2. Zdalny, nieuwierzytelniony atakujący może uzyskać JWT dla dowolnego użytkownika (w tym administratora) znając jego nazwę użytkownika.
- CVE-2022-51024Wysokie
Kavita 0.5.2 przed 0.5.4.1 zawiera podatność na path traversal umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez podanie sekwencji '../' w parametrze filename. Atakujący mogą wysyłać żądania GET do /api/image/cover-upload z wartościami filename takimi jak ../appsettings.json, aby pobrać pliki konfiguracyjne spoza katalogu tymczasowego.
- CVE-2026-110223Niskie
Kavita 0.9.0 do 0.9.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym użytkownikom na obejście listy blokad SSRF przez ponowne wiązanie DNS lub przekierowania HTTPS. Atakujący mogą przesłać URL do POST /api/Cbl/upload-cbl-file, którego host po walidacji zmienia wiązanie lub przekierowuje na wewnętrzne adresy, umożliwiając ślepe skanowanie wewnętrznych portów i usług.
- CVE-2026-44775Średnie
W Kavita przed wersją 0.9.0 endpoint ReaderController.GetImage jest oznaczony atrybutem [AllowAnonymous], co pozwala na całkowicie nieuwierzytelniony dostęp do obrazów stron z dowolnego rozdziału w dowolnej bibliotece. Parametr apiKey nie jest walidowany, a identyfikatory encji są sekwencyjne, co umożliwia atakującemu łatwe wyliczenie całej zawartości serwera.
Oryginalny opis (angielski, źródło NVD)
Kavita is a cross platform reading server. Prior to 0.9.0, the download, size-check, and chapter metadata endpoints do not enforce library-level authorization. A low-privileged user who knows or guesses a chapterId, volumeId, or seriesId belonging to a library they are not assigned to can download the full file contents, query file sizes, and read metadata for that content. This affects /api/Download/volume-size, /api/Download/chapter-size, /api/Download/series-size, /api/Download/volume, /api/Download/chapter, /api/Download/series, and /api/Chapter. This vulnerability is fixed in 0.9.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS