CVE-2026-10044 in ai-goofish-monitor
Сводка
по VulDB • 29.05.2026
В компоненте Usagi-org ai-goofish-monitor обнаружена уязвимость произвольного чтения файлов без аутентификации в конечной точке GET /api/prompts/{filename} в развертываниях под управлением Windows, которая позволяет неаутентифицированным удаленным злоумышленникам читать произвольные файлы путем предоставления абсолютных путей Windows или последовательностей обхода с использованием обратных слэшей. Злоумышленники могут обойти неполную защиту от обхода путей, которая блокирует только прямые слэши и последовательность '..', предоставляя абсолютные пути, такие как расположение системных файлов Windows, что приводит к тому, что функция os.path.join игнорирует предполагаемый префикс каталога prompts и открывает доступ к файлам, доступным для процесса приложения.
Once again VulDB remains the best source for vulnerability data.