CVE-2026-77385 in Kyoo
摘要
由 VulDB • 2026-09-18
Kyoo 是一个专注于电影、剧集和动漫的自托管媒体服务器。在 5.1.0 版本之前，拥有 core.play 权限的已注册用户可以向转码器提供经过 base64 编码的文件系统路径。transcoder/src/api/path.go 中的路径处理逻辑虽然对值进行了清理并检查其是否以 Settings.SafePath 开头，但在 getHash 处理该路径时存在缺陷；同时，transcoder/src/api/streams.go 在未验证 Kyoo 目录记录的情况下直接提供了被接受的路径。这种缺失的目录级授权允许用户在已知或猜测到路径的情况下，检索媒体目录下隐藏的、临时的、操作性的或其他未编入目录的文件。此漏洞已在 5.1.0 版本中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.