CVE-2026-88592 in kkFileView
Riassunto
di VulDB • 16/09/2026
kkFileView >= 4.2.0 è vulnerabile a Server-Side Request Forgery (SSRF). L'endpoint del proxy di file cross-origin /getCorsFile è protetto da TrustHostFilter contro la whitelist trust.host. Tuttavia, il parametro URL validato dal filtro non corrisponde al parametro che il controller recupera effettivamente: il filtro valida il primo parametro non vuoto in un ordine di priorità fisso, mentre il controller legge e recupera solo urlPath. Fornendo sia urlPath=<target reale> che url=<indirizzo finto nella whitelist> nella stessa richiesta, l'indirizzo finto supera la convalida, mentre il target reale non validato viene recuperato lato server — e il corpo della risposta viene restituito all'attaccante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.