CVE-2024-31450 in Owncast
Sumário
de VulDB • 26/05/2026
O Owncast é um servidor de streaming de vídeo ao vivo e chat para um único usuário, descentralizado, auto-hospedado e de código aberto. A aplicação Owncast expõe uma API de administrador na URL /api/admin. O endpoint emoji/delete dessa API permite que administradores excluam emojis personalizados, que são salvos em disco. O parâmetro name é obtido a partir da solicitação JSON e anexado diretamente ao caminho do arquivo que aponta para o emoji a ser excluído. Ao utilizar sequências de traversal de caminho (../), atacantes com privilégios administrativos podem explorar esse endpoint para excluir arquivos arbitrários no sistema, fora do diretório de emojis. Esta vulnerabilidade foi corrigida na versão 0.1.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.