CVE-2026-44775
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W Kavita przed wersją 0.9.0 endpoint ReaderController.GetImage jest oznaczony atrybutem [AllowAnonymous], co pozwala na całkowicie nieuwierzytelniony dostęp do obrazów stron z dowolnego rozdziału w dowolnej bibliotece. Parametr apiKey nie jest walidowany, a identyfikatory encji są sekwencyjne, co umożliwia atakującemu łatwe wyliczenie całej zawartości serwera.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wszystkich obrazów (stron) w serwerze, co prowadzi do naruszenia poufności treści.
Rekomendacja
Zaktualizuj Kavita do wersji 0.9.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Kavita
Zobacz wszystkie- CVE-2026-47202Krytyczne
Podatność nieprawidłowej walidacji tokenów w Kavita przed wersją 0.9.0.2. Zdalny, nieuwierzytelniony atakujący może uzyskać JWT dla dowolnego użytkownika (w tym administratora) znając jego nazwę użytkownika.
- CVE-2026-44776Średnie
Kavita, serwer do czytania komiksów, ma podatność w endpointach do pobierania i sprawdzania rozmiaru plików. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do treści z bibliotek, do których nie ma przypisania, jeśli zna identyfikatory rozdziałów, tomów lub serii.
Oryginalny opis (angielski, źródło NVD)
Kavita is a cross platform reading server. Prior to 0.9.0, the ReaderController.GetImage endpoint is decorated with [AllowAnonymous], allowing completely unauthenticated access to page images from any chapter in any library. While the endpoint accepts an apiKey parameter, it is never validated. Since entity IDs are sequential integers, an unauthenticated attacker can trivially enumerate all content on the server. This vulnerability is fixed in 0.9.0.