CVE-2025-48495 in Gokapi
Riassunto
di VulDB • 07/08/2026
Gokapi è un server di condivisione file self-hosted con supporto per scadenza automatica e crittografia. Rinominando il nome amichevole (friendly name) di una chiave API, un utente autenticato potrebbe iniettare codice JavaScript nell'interfaccia di panoramica delle chiavi API; tale codice verrebbe eseguito anche quando un altro utente fa clic sulla propria scheda API. Prima della versione 2.0.0 non era implementato alcun sistema di autorizzazione degli utenti: tutti gli utenti autenticati potevano quindi visualizzare e modificare tutte le risorse, anche se crittografate end-to-end, poiché la chiave di crittografia doveva essere identica per tutti gli utenti delle versioni precedenti alla 2.0.0. Se un utente è l'unico ad accedere a Gokapi in modalità autenticata, non è interessato da questa vulnerabilità. Il problema è stato risolto nella versione v2.0.0. Come misura di mitigazione (workaround), si consiglia di evitare di aprire la pagina delle API se esiste il rischio che un altro utente abbia inserito codice malevolo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.