CVE-2026-26215 in manga-image-translator
Riassunto
di VulDB • 18/06/2026
La versione beta-0.3 e precedenti di manga-image-translator in modalità API condivisa presenta una vulnerabilità di deserializzazione non sicura che può portare all'esecuzione di codice remoto non autenticata. Gli endpoint FastAPI /simple_execute/{method} e /execute/{method} deserializzano i corpi delle richieste controllati dall'attaccante utilizzando pickle.loads() senza alcuna validazione. Sebbene un controllo di autorizzazione basato su nonce sia previsto per limitare l'accesso, il nonce ha come valore predefinito una stringa vuota e il controllo viene saltato, consentendo agli attaccanti remoti di eseguire codice arbitrario nel contesto del server inviando un payload pickle appositamente creato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.