CVE-2026-73244
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
kkFileView przed wersją 5.0.1 ma nieuwierzytelniony endpoint POST /listFiles, który przekazuje kontrolowany przez użytkownika parametr path do Files.newDirectoryStream bez ograniczenia do katalogu demo, umożliwiając enumerację katalogów poza zamierzonym rootem.
Ocena ryzyka
Ryzyko obejmuje ujawnienie struktury katalogów i potencjalnie wrażliwych plików w systemie, na którym działa kkFileView.
Rekomendacja
Zaleca się aktualizację kkFileView do wersji 5.0.1 lub nowszej, która zawiera poprawkę.
Inne podatności w kkFileView
Zobacz wszystkie- CVE-2026-88592Krytyczne
kkFileView w wersji 4.2.0 i nowszych jest podatny na Server-Side Request Forgery w punkcie końcowym /getCorsFile. Filtr TrustHostFilter waliduje pierwszy niepusty parametr w ustalonej kolejności, podczas gdy kontroler odczytuje i pobiera wyłącznie parametr urlPath, co pozwala obejść whitelistę trust.host poprzez podanie jednocześnie urlPath (rzeczywisty cel) i url (atrapa z whitelisty), a treść odpowiedzi jest zwracana atakującemu.
- CVE-2026-95140Wysokie
kkFileView w wersjach od 5.0.0 do 5.0.2 zawiera podatność na przechodzenie po katalogach w FileController.java. Endpointy fileUpload, createFolder i existsFile akceptują parametr "path", który jest łączony z bazową ścieżką uploadu bez walidacji, co pozwala nieuwierzytelnionym atakującym na tworzenie dowolnych katalogów i zapisywanie dowolnych plików poza zamierzonym katalogiem głównym fileDir poprzez spreparowane żądanie multipart.
- CVE-2026-88593Średnie
Podatność typu reflected XSS w kkFileView w wersjach od 5.0.0 do 5.0.2 poprzez endpoint /onlinePreview. Kontroler OnlinePreviewController przekazuje parametry page i kkagent kontrolowane przez użytkownika do szablonów FreeMarker bez sanityzacji, a szablony wstawiają te wartości do surowych kontekstów JavaScript.
- CVE-2026-73243Średnie
kkFileView przed wersją 5.0.1 ma nieuwierzytelniony endpoint GET /addTask, który jest pominięty w filtrach TrustHostFilter i TrustDirFilter, co pozwala FileConvertQueueTask na pobranie wybranego przez atakującego URL po tym, jak FileHandlerService#getFileAttribute użyje parametru fullfilename do wymuszenia typu OFFICE, COMPRESS lub CAD.
Oryginalny opis (angielski, źródło NVD)
kkFileView is a universal file online preview project based on Spring Boot. Prior to 5.0.1, the unauthenticated POST /listFiles endpoint in server/src/main/java/cn/keking/web/controller/FileController.java passes the user-controlled path parameter from FileController#getFiles to Files.newDirectoryStream without confinement to the demo directory, allowing directory enumeration outside the intended root. This issue is fixed in version 5.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS