CVE-2024-31450 in Owncast
要約
〜によって VulDB • 2026年05月30日
Owncastは、オープンソースで自己ホスト型、分散型、シングルユーザー向けのライブビデオストリーミングおよびチャットサーバーです。Owncastアプリケーションは、URL /api/adminで管理者用APIを公開しています。このAPIのemoji/deleteエンドポイントは、管理者がディスク上に保存されたカスタム絵文字を削除するために使用されます。パラメータ名はJSONリクエストから取得され、削除対象の絵文字を指すファイルパスに直接連結されます。攻撃者がパストラバーサルシーケンス（../）を使用し、管理者権限を持つ場合、このエンドポイントを悪用して、絵文字ディレクトリ外のシステムの任意のファイルを削除することができます。この脆弱性はバージョン0.1.3で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.