CVE-2026-77385

ŚrednieCVSS 4.3

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

W serwerze multimedialnym Kyoo w wersjach przed 5.1.0 zarejestrowany użytkownik z uprawnieniem core.play mógł podać ścieżkę systemu plików zakodowaną w base64 do transkodera. Obsługa ścieżek sprawdzała jedynie prefiks Settings.SafePath, a nie weryfikowała istnienia rekordu w katalogu Kyoo, co pozwalało na odczyt ukrytych, tymczasowych lub niekatalogowanych plików w katalogu mediów, jeśli ścieżka była znana lub odgadnięta.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do plików spoza katalogu katalogu Kyoo, co może prowadzić do wycieku danych operacyjnych lub poufnych. Ryzyko jest ograniczone do znanych lub odgadniętych ścieżek.

Rekomendacja

Zaktualizuj Kyoo do wersji 5.1.0 lub nowszej, która weryfikuje istnienie rekordu katalogowego przed udostępnieniem ścieżki.

Inne podatności w Kyoo

CVE-2026-77386Średnie
Kyoo to samodzielnie hostowany serwer multimediów skupiony na filmach, serialach i anime. W wersjach przed 5.1.0 nieuwierzytelniony atakujący mógł zainicjować przepływ logowania OIDC z kontrolowanym przez siebie redirectUrl. Obsługa logowania w auth/oidc.go przechowywała ten URL wraz z nieprzejrzystym stanem logowania, a /auth/oidc/logged/{provider} dołączał wartości provider, token i error przed przekierowaniem przeglądarki ofiary bez walidacji miejsca docelowego. Ponieważ jednorazowy token nie był powiązany z sesją przeglądarki, która zainicjowała logowanie, atakujący, który nakłonił ofiarę do zakończenia uwierzytelniania OIDC, mógł przechwycić token w kontrolowanym przez siebie miejscu docelowym i wymienić go przez /auth/oidc/callback/{provider} na sesję Kyoo ofiary. Problem został naprawiony w wersji 5.1.0.

Oryginalny opis (angielski, źródło NVD)

Kyoo is a self-hosted media server focused on movies, series, and anime. Prior to 5.1.0, a registered user with the core.play permission could supply a base64-encoded filesystem path to the transcoder. The path handling in transcoder/src/api/path.go cleaned the value and checked only that it began with Settings.SafePath before getHash processed it, while transcoder/src/api/streams.go served the accepted path without verifying a Kyoo catalog record. This missing catalog-level authorization allowed the user to retrieve hidden, temporary, operational, or other uncataloged files beneath the media directory when the path was known or guessed. This vulnerability is fixed in 5.1.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS