CVE-2026-47202

Kavita 0.5.2 przed 0.5.4.1 zawiera podatność na path traversal umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez podanie sekwencji '../' w parametrze filename. Atakujący mogą wysyłać żądania GET do /api/image/cover-upload z wartościami filename takimi jak ../appsettings.json, aby pobrać pliki konfiguracyjne spoza katalogu tymczasowego.

Kavita 0.9.0 do 0.9.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym użytkownikom na obejście listy blokad SSRF przez ponowne wiązanie DNS lub przekierowania HTTPS. Atakujący mogą przesłać URL do POST /api/Cbl/upload-cbl-file, którego host po walidacji zmienia wiązanie lub przekierowuje na wewnętrzne adresy, umożliwiając ślepe skanowanie wewnętrznych portów i usług.

Kavita, serwer do czytania komiksów, ma podatność w endpointach do pobierania i sprawdzania rozmiaru plików. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do treści z bibliotek, do których nie ma przypisania, jeśli zna identyfikatory rozdziałów, tomów lub serii.

W Kavita przed wersją 0.9.0 endpoint ReaderController.GetImage jest oznaczony atrybutem [AllowAnonymous], co pozwala na całkowicie nieuwierzytelniony dostęp do obrazów stron z dowolnego rozdziału w dowolnej bibliotece. Parametr apiKey nie jest walidowany, a identyfikatory encji są sekwencyjne, co umożliwia atakującemu łatwe wyliczenie całej zawartości serwera.