CVE-2026-73243
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
kkFileView przed wersją 5.0.1 ma nieuwierzytelniony endpoint GET /addTask, który jest pominięty w filtrach TrustHostFilter i TrustDirFilter, co pozwala FileConvertQueueTask na pobranie wybranego przez atakującego URL po tym, jak FileHandlerService#getFileAttribute użyje parametru fullfilename do wymuszenia typu OFFICE, COMPRESS lub CAD.
Ocena ryzyka
Ryzyko obejmuje możliwość wykorzystania kkFileView do ataków SSRF (Server-Side Request Forgery) lub pobierania złośliwych plików, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację kkFileView do wersji 5.0.1 lub nowszej, która zawiera poprawkę.
Inne podatności w kkFileView
Zobacz wszystkie- CVE-2026-88592Krytyczne
kkFileView w wersji 4.2.0 i nowszych jest podatny na Server-Side Request Forgery w punkcie końcowym /getCorsFile. Filtr TrustHostFilter waliduje pierwszy niepusty parametr w ustalonej kolejności, podczas gdy kontroler odczytuje i pobiera wyłącznie parametr urlPath, co pozwala obejść whitelistę trust.host poprzez podanie jednocześnie urlPath (rzeczywisty cel) i url (atrapa z whitelisty), a treść odpowiedzi jest zwracana atakującemu.
- CVE-2026-95140Wysokie
kkFileView w wersjach od 5.0.0 do 5.0.2 zawiera podatność na przechodzenie po katalogach w FileController.java. Endpointy fileUpload, createFolder i existsFile akceptują parametr "path", który jest łączony z bazową ścieżką uploadu bez walidacji, co pozwala nieuwierzytelnionym atakującym na tworzenie dowolnych katalogów i zapisywanie dowolnych plików poza zamierzonym katalogiem głównym fileDir poprzez spreparowane żądanie multipart.
- CVE-2026-88593Średnie
Podatność typu reflected XSS w kkFileView w wersjach od 5.0.0 do 5.0.2 poprzez endpoint /onlinePreview. Kontroler OnlinePreviewController przekazuje parametry page i kkagent kontrolowane przez użytkownika do szablonów FreeMarker bez sanityzacji, a szablony wstawiają te wartości do surowych kontekstów JavaScript.
- CVE-2026-73244Średnie
kkFileView przed wersją 5.0.1 ma nieuwierzytelniony endpoint POST /listFiles, który przekazuje kontrolowany przez użytkownika parametr path do Files.newDirectoryStream bez ograniczenia do katalogu demo, umożliwiając enumerację katalogów poza zamierzonym rootem.
Oryginalny opis (angielski, źródło NVD)
kkFileView is a universal file online preview project based on Spring Boot. Prior to 5.0.1, the unauthenticated GET /addTask endpoint in kkFileView is omitted from TrustHostFilter and TrustDirFilter in server/src/main/java/cn/keking/config/WebConfig.java, allowing FileConvertQueueTask to fetch an attacker-selected URL after FileHandlerService#getFileAttribute uses the fullfilename parameter to force an OFFICE, COMPRESS, or CAD type. This issue is fixed in version 5.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS