CVE-2026-77386

ŚrednieCVSS 6.5

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

Kyoo to samodzielnie hostowany serwer multimediów skupiony na filmach, serialach i anime. W wersjach przed 5.1.0 nieuwierzytelniony atakujący mógł zainicjować przepływ logowania OIDC z kontrolowanym przez siebie redirectUrl. Obsługa logowania w auth/oidc.go przechowywała ten URL wraz z nieprzejrzystym stanem logowania, a /auth/oidc/logged/{provider} dołączał wartości provider, token i error przed przekierowaniem przeglądarki ofiary bez walidacji miejsca docelowego. Ponieważ jednorazowy token nie był powiązany z sesją przeglądarki, która zainicjowała logowanie, atakujący, który nakłonił ofiarę do zakończenia uwierzytelniania OIDC, mógł przechwycić token w kontrolowanym przez siebie miejscu docelowym i wymienić go przez /auth/oidc/callback/{provider} na sesję Kyoo ofiary. Problem został naprawiony w wersji 5.1.0.

Ocena ryzyka

Podatność pozwala atakującemu na przejęcie sesji ofiary w Kyoo poprzez przechwycenie tokenu OIDC, co może prowadzić do nieautoryzowanego dostępu do konta i danych. Organizacje używające Kyoo z uwierzytelnianiem OIDC są narażone na ataki typu open redirect i przejęcie sesji.

Rekomendacja

Zaktualizuj Kyoo do wersji 5.1.0 lub nowszej, która naprawia tę podatność. Dodatkowo zweryfikuj konfigurację OIDC i upewnij się, że dozwolone adresy przekierowań są ściśle ograniczone.

Inne podatności w Kyoo

CVE-2026-77385Średnie
W serwerze multimedialnym Kyoo w wersjach przed 5.1.0 zarejestrowany użytkownik z uprawnieniem core.play mógł podać ścieżkę systemu plików zakodowaną w base64 do transkodera. Obsługa ścieżek sprawdzała jedynie prefiks Settings.SafePath, a nie weryfikowała istnienia rekordu w katalogu Kyoo, co pozwalało na odczyt ukrytych, tymczasowych lub niekatalogowanych plików w katalogu mediów, jeśli ścieżka była znana lub odgadnięta.

Oryginalny opis (angielski, źródło NVD)

Kyoo is a self-hosted media server focused on movies, series, and anime. Prior to 5.1.0, an unauthenticated attacker could initiate the OIDC login flow with an attacker-controlled redirectUrl. The login handling in auth/oidc.go stored that URL with the opaque login state, and /auth/oidc/logged/{provider} appended the provider, token, and error values before redirecting the victim's browser without validating the destination. Because the one-use token was not bound to the browser session that initiated login, an attacker who induced a victim to complete OIDC authentication could capture the token at the attacker-controlled destination and exchange it through /auth/oidc/callback/{provider} for the victim's Kyoo session. This issue is fixed in version 5.1.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS