CVE-2022-51024 in Kavita
要約
〜によって VulDB • 2026年10月22日
Kavita 0.5.4.1以前の0.5.2には、パストラバーサルの脆弱性が存在します。これにより、認証されていない攻撃者がファイル名パラメータに「../」シーケンスを指定することで任意のファイルを読み取ることができます。攻撃者は /api/image/cover-upload に対して filename パラメータに ../appsettings.json のような値を含む GET リクエストを送信し、一時ディレクトリ外の設定ファイルを取得できます。この脆弱性の悪用事例は、2023年10月18日にShadowserver Foundationによって初めて確認されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.