CVE-2026-88593
NieznaneStreszczenie
Podatność typu reflected XSS w kkFileView w wersjach od 5.0.0 do 5.0.2 poprzez endpoint /onlinePreview. Kontroler OnlinePreviewController przekazuje parametry page i kkagent kontrolowane przez użytkownika do szablonów FreeMarker bez sanityzacji, a szablony wstawiają te wartości do surowych kontekstów JavaScript.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy organizacji udostępniających kkFileView użytkownikom.
Rekomendacja
Zaktualizuj kkFileView do wersji nowszej niż 5.0.2 zawierającej poprawkę. Do czasu aktualizacji rozważ walidację i sanityzację parametrów page oraz kkagent po stronie serwera.
Inne podatności w kkFileView
Zobacz wszystkie- CVE-2026-88592Nieznane
kkFileView w wersji 4.2.0 i nowszych jest podatny na Server-Side Request Forgery w punkcie końcowym /getCorsFile. Filtr TrustHostFilter waliduje pierwszy niepusty parametr w ustalonej kolejności, podczas gdy kontroler odczytuje i pobiera wyłącznie parametr urlPath, co pozwala obejść whitelistę trust.host poprzez podanie jednocześnie urlPath (rzeczywisty cel) i url (atrapa z whitelisty), a treść odpowiedzi jest zwracana atakującemu.
- CVE-2026-73244Średnie
kkFileView przed wersją 5.0.1 ma nieuwierzytelniony endpoint POST /listFiles, który przekazuje kontrolowany przez użytkownika parametr path do Files.newDirectoryStream bez ograniczenia do katalogu demo, umożliwiając enumerację katalogów poza zamierzonym rootem.
- CVE-2026-73243Średnie
kkFileView przed wersją 5.0.1 ma nieuwierzytelniony endpoint GET /addTask, który jest pominięty w filtrach TrustHostFilter i TrustDirFilter, co pozwala FileConvertQueueTask na pobranie wybranego przez atakującego URL po tym, jak FileHandlerService#getFileAttribute użyje parametru fullfilename do wymuszenia typu OFFICE, COMPRESS lub CAD.
Oryginalny opis (angielski, źródło NVD)
kkFileView 5.0.0 through 5.0.2 allows reflected XSS via the /onlinePreview endpoint. The OnlinePreviewController passes the user-controlled page and kkagent request parameters to FreeMarker templates without sanitization, and the templates insert these values into raw JavaScript contexts.