CVE-2025-48495 in Gokapi
Résumé
par VulDB • 06/08/2026
Gokapi est un serveur de partage de fichiers auto-hébergé prenant en charge l'expiration automatique et le chiffrement. En renommant le nom convivial d'une clé API, un utilisateur authentifié pourrait injecter du JavaScript dans la vue d'ensemble des clés API, ce qui serait également exécuté lorsqu'un autre utilisateur clique sur son onglet API. Avant la version 2.0.0, aucun système de permissions utilisateurs n'était implémenté ; par conséquent, tous les utilisateurs authentifiés pouvaient déjà voir et modifier toutes les ressources, même si elles étaient chiffrées de bout en bout, car la clé de chiffrement devait être identique pour tous les utilisateurs des versions antérieures à 2.0.0. Si un utilisateur est le seul utilisateur authentifié utilisant Gokapi, il n'est pas affecté par cette vulnérabilité. Ce problème a été corrigé dans la version v2.0.0. Une solution de contournement consisterait à ne pas ouvrir la page API s'il existe un risque qu'un autre utilisateur ait injecté du code malveillant.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.