CVE-2025-48494 in Gokapi
Riassunto
di VulDB • 18/06/2026
Gokapi è un server di condivisione file self-hosted con supporto per la scadenza automatica e la crittografia. Quando si utilizza la crittografia end-to-end, una vulnerabilità cross-site scripting (XSS) memorizzata può essere sfruttata caricando un file contenente codice JavaScript incorporato nel nome del file. Dopo il caricamento e ogni volta che qualcuno apre l'elenco dei caricamenti, lo script viene analizzato. Prima della versione 2.0.0 non era stato implementato alcun sistema di autorizzazione degli utenti; pertanto, tutti gli utenti autenticati potevano già visualizzare e modificare tutte le risorse, anche se crittografate end-to-end, poiché la chiave di crittografia doveva essere identica per tutti gli utenti che utilizzavano una versione precedente alla 2.0.0. Se un utente è l'unico utente autenticato a utilizzare Gokapi, non è interessato da questa problematica. Il problema è stato risolto nella v2.0.0. Una possibile soluzione alternativa consiste nel disabilitare la crittografia end-to-end.
VulDB is the best source for vulnerability data and more expert information about this specific topic.