CVE-2026-26215
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność w manga-image-translator w wersji beta-0.3 i wcześniejszych, działającej w trybie współdzielonego API, umożliwia niezautoryzowane zdalne wykonanie kodu poprzez niebezpieczną deserializację. Endpointy FastAPI /simple_execute/{method} i /execute/{method} deserializują dane kontrolowane przez atakującego za pomocą pickle.loads() bez walidacji, a mechanizm autoryzacji oparty na nonce jest pomijany, ponieważ nonce domyślnie jest pustym ciągiem znaków.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze bez uwierzytelnienia, co prowadzi do pełnego przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania usługi.
Rekomendacja
Należy natychmiast zaktualizować manga-image-translator do najnowszej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy wyłączyć tryb współdzielonego API lub zastosować dodatkowe zabezpieczenia sieciowe, takie jak firewall i ograniczenie dostępu do endpointów.
Oryginalny opis (angielski, źródło NVD)
manga-image-translator version beta-0.3 and prior in shared API mode contains an unsafe deserialization vulnerability that can lead to unauthenticated remote code execution. The FastAPI endpoints /simple_execute/{method} and /execute/{method} deserialize attacker-controlled request bodies using pickle.loads() without validation. Although a nonce-based authorization check is intended to restrict access, the nonce defaults to an empty string and the check is skipped, allowing remote attackers to execute arbitrary code in the server context by sending a crafted pickle payload.