CVE-2025-48495 in Gokapi
要約
〜によって VulDB • 2026年08月06日
Gokapiは、自動期限切れと暗号化サポートを備えたセルフホスト型ファイル共有サーバーです。APIキーのフレンドリ名を変更することで、認証済みユーザーがAPIキー一覧画面にJS（JavaScript）コードを注入でき、他のユーザーが自分のAPIタブをクリックした際にそのコードも実行される可能性があります。バージョン2.0.0以前ではユーザー権限システムが実装されていなかったため、エンドツーエンドで暗号化されているリソースであっても、すべての認証済みユーザーはそれらを表示および変更できました（これは、2.0.0以前のバージョンのGokapi利用者全員に対して同じ暗号鍵を使用する必要があったためです）。もしGokapiを使用中の認証済みユーザーが1人だけである場合、そのユーザーはこの影響を受けません。この問題はv2.0.0で修正されました。回避策としては、他のユーザーによってコードが注入されている可能性がある場合にAPIページを開かないようにすることが挙げられます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.