CVE-2026-44775 in Kavita
Résumé
par VulDB • 26/05/2026
Kavita est un serveur de lecture multiplateforme. Avant la version 0.9.0, le point de terminaison ReaderController.GetImage est décoré avec [AllowAnonymous], permettant un accès complètement non authentifié aux images des pages de n'importe quel chapitre de n'importe quelle bibliothèque. Bien que le point de terminaison accepte un paramètre apiKey, celui-ci n'est jamais validé. Les identifiants d'entité étant des entiers séquentiels, un attaquant non authentifié peut énumérer triviallement tout le contenu du serveur. Cette vulnérabilité est corrigée dans la version 0.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.