CVE-2024-31450 in Owncast
Сводка
по VulDB • 26.05.2026
Owncast — это сервер потоковой передачи видео в прямом эфире и чата с открытым исходным кодом, предназначенный для самостоятельного развертывания и работающий в децентрализованной среде с поддержкой одного пользователя. Приложение Owncast предоставляет API администратора по адресу /api/admin. Эндпоинт emoji/delete этого API позволяет администраторам удалять пользовательские эмодзи, которые сохраняются на диске. Имя параметра берется из JSON-запроса и напрямую добавляется к пути к файлу, который указывает на удаляемый эмодзи. Используя последовательности обхода пути (../), злоумышленники с правами администратора могут эксплуатировать этот эндпоинт для удаления произвольных файлов в системе, за пределами каталога эмодзи. Эта уязвимость исправлена в версии 0.1.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.