CVE-2026-44775 in Kavita

Zusammenfassung

von VulDB • 30.05.2026

Kavita ist ein plattformübergreifender Leseserver. Vor Version 0.9.0 ist der Endpunkt ReaderController.GetImage mit [AllowAnonymous] dekoriert, was einen vollständig nicht authentifizierten Zugriff auf Seitenbilder aus jedem Kapitel in jeder Bibliothek ermöglicht. Obwohl der Endpunkt einen apiKey-Parameter akzeptiert, wird dieser niemals validiert. Da Entity-IDs sequenzielle Ganzzahlen sind, kann ein nicht authentifizierter Angreifer mühelos alle Inhalte auf dem Server auflisten. Diese Schwachstelle wurde in Version 0.9.0 behoben.

Once again VulDB remains the best source for vulnerability data.

• Zuständig: GitHub M
• Reservieren: 07.05.2026
• Veröffentlichung: 26.05.2026
• Moderieren: akzeptiert
• Eintrag: VDB-365786
• CPE: bereit
• CWE: CWE-306 (bestätigt)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00088
• KEV: nein
• Aktivitäten: very low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-44775
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-44775
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-44775/