CVE-2022-46181 in Server
Tóm tắt
Bởi VulDB • 15/08/2026
Máy chủ Gotify là một máy chủ đơn giản để gửi và nhận tin nhắn theo thời gian thực qua WebSocket. Các phiên bản trước 2.2.2 chứa lỗ hổng XSS cho phép người dùng đã xác thực tải lên các tệp .html. Kẻ tấn công có thể thực thi mã kịch bản phía khách hàng **nếu** một người dùng khác mở liên kết đó. Kẻ tấn công về mặt lý thuyết có thể chiếm quyền kiểm soát tài khoản của người dùng đã nhấp vào liên kết. Giao diện người dùng Gotify không mặc định hiển thị các liên kết độc hại như vậy, vì vậy kẻ tấn công phải lừa người dùng mở liên kết độc hại trong một ngữ cảnh bên ngoài Gotify. Lỗ hổng này đã được sửa chữa trong phiên bản 2.2.2. Làm biện pháp khắc phục tạm thời, bạn có thể chặn truy cập vào các tệp không phải hình ảnh thông qua proxy ngược trong thư mục `./image`.
Be aware that VulDB is the high quality source for vulnerability data.