CVE-2026-59153
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Anki przed wersją 25.09.3 uruchamia lokalny serwer HTTP, który nie blokuje żądań z innych źródeł. Złośliwa strona internetowa może wysyłać żądania do tego serwera, co może prowadzić do niepożądanych skutków ubocznych.
Ocena ryzyka
Ryzyko polega na możliwości wykonania nieautoryzowanych operacji na lokalnym serwerze Anki przez złośliwą stronę, co może naruszyć integralność danych lub funkcjonalność aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Anki do wersji 25.09.3 lub nowszej, która zawiera poprawkę blokującą żądania z innych źródeł.
Inne podatności w Anki
Zobacz wszystkie- CVE-2026-64677Średnie
W Anki przed wersją 25.09.3 endpointy lokalnego serwera HTTP nie ograniczają odpowiednio żądanych ścieżek mediów i wbudowanych danych, co pozwala skryptom z udostępnianych talii lub złośliwym stronom internetowym (z obejściem sprawdzania pochodzenia) na odczyt lokalnych plików poprzez traversal katalogów.
- CVE-2026-58266Średnie
Podatność w Anki przed wersją 25.09.4 umożliwia złośliwym pakietom kart z osadzonym iframe dostęp do wewnętrznego API localhost, co pozwala na odczyt dowolnych plików dostępnych dla procesu Anki i ich eksfiltrację przez sieć.
- CVE-2025-62187Niskie
W Anki przed wersją 25.02.6, specjalnie spreparowane odwołania do plików dźwiękowych mogą spowodować zapis plików w dowolnych lokalizacjach na Windows i Linux (ścieżki plików multimedialnych nie muszą być względne do folderu multimediów).
- CVE-2025-62186Średnie
Anki (Ankitects) przed wersją 25.02.5 pozwala przygotowanej współdzielonej talii w systemie Windows na wykonanie dowolnych poleceń podczas odtwarzania dźwięku z powodu nieprawidłowej obsługi schematów URL.
- CVE-2025-62185Średnie
W Anki (Ankitects) przed wersją 25.02.5 przygotowana współdzielona talia może umieścić plik wykonywalny pobierający z YouTube w folderze mediów, który jest uruchamiany dla linku YouTube w talii. Nazwa pliku może to być youtube-dl.exe, yt-dlp.exe lub yt-dlp_x86.exe.
Oryginalny opis (angielski, źródło NVD)
Anki is a program for creating and reviewing flashcards. Prior to 25.09.3, Anki launches a local HTTP server to serve media files and web pages for parts of its interface, but requests from other origins were not sufficiently blocked. A malicious website could potentially trigger side-effecting requests to the local server, with severity varying by browser depending on Private Network Access protections. This issue is fixed in version 25.09.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS