CVE-2026-64677
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W Anki przed wersją 25.09.3 endpointy lokalnego serwera HTTP nie ograniczają odpowiednio żądanych ścieżek mediów i wbudowanych danych, co pozwala skryptom z udostępnianych talii lub złośliwym stronom internetowym (z obejściem sprawdzania pochodzenia) na odczyt lokalnych plików poprzez traversal katalogów.
Ocena ryzyka
Atakujący może odczytać lokalne pliki użytkownika, co może prowadzić do ujawnienia wrażliwych danych.
Rekomendacja
Zaktualizuj Anki do wersji 25.09.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Anki
Zobacz wszystkie- CVE-2026-59153Niskie
Anki przed wersją 25.09.3 uruchamia lokalny serwer HTTP, który nie blokuje żądań z innych źródeł. Złośliwa strona internetowa może wysyłać żądania do tego serwera, co może prowadzić do niepożądanych skutków ubocznych.
- CVE-2026-58266Średnie
Podatność w Anki przed wersją 25.09.4 umożliwia złośliwym pakietom kart z osadzonym iframe dostęp do wewnętrznego API localhost, co pozwala na odczyt dowolnych plików dostępnych dla procesu Anki i ich eksfiltrację przez sieć.
Oryginalny opis (angielski, źródło NVD)
Anki is a program for creating and reviewing flashcards. Prior to 25.09.3, endpoints in Anki's local HTTP server do not adequately constrain requested media and built-in data paths, allowing scripts served from shared decks, or malicious websites combined with an origin-check bypass, to read local files through directory traversal. This issue is fixed in version 25.09.3.