Sijisu

**Name of the Vulnerable Software and Affected Versions** Gokapi versions prior to 2.2.4 **Description** Gokapi is a self-hosted file sharing server. An authorization flaw in the file replace API allows a user with list visibility permission (`UserPermListOtherUploads`) to delete another user's file by manipulating the `deleteNewFile` flag, circumventing the `UserPermDeleteOtherUploads` requirement. Any authenticated user possessing `PERM REPLACE` and `PERM LIST` permissions can delete files belonging to other users without needing `PERM DELETE` permission. **Recommendations** Update Gokapi to version 2.2.4 or later.

**Name of the Vulnerable Software and Affected Versions** Gokapi versions prior to 2.2.4 **Description** Gokapi is a self-hosted file sharing server that supports automatic expiration and encryption. An API endpoint is susceptible to accepting request bodies of unlimited size. An authenticated user can exploit this to cause an Out-Of-Memory (OOM) kill, leading to a complete service disruption for all users. The issue impacts the server's stability and availability. The affected API endpoint accepts unbounded request bodies. The `request body` is the vulnerable parameter. **Recommendations** Update to version 2.2.4 or later.

**Name of the Vulnerable Software and Affected Versions** Gokapi versions prior to 2.2.4 **Description** Gokapi is a self-hosted file sharing server. The chunked upload completion path for file requests does not validate the total file size against the per-request `MaxSize` limit. An attacker with a public file request link can split an oversized file into chunks, each under `MaxSize`, and upload them sequentially, bypassing the size restriction. Files up to the server's global `MaxFileSizeMB` are accepted regardless of the file request's configured limit. This allows unauthorized storage consumption, circumvention of administrative resource policies, and potential service disruption through storage exhaustion. **Recommendations** Update to version 2.2.4 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Gokapi anteriores à 2.2.3 **Descrição** O Gokapi é um servidor de compartilhamento de arquivos autohospedado que suporta expiração automática e criptografia. A implementação do Server-Sent Events (SSE) para o status de upload no endpoint da API `/uploadStatus` publica o estado global de upload para qualquer usuário autenticado e inclui valores de `file id` que não estão limitados ao usuário que fez a solicitação. Isso pode levar à exposição de dados entre inquilinos e à perda de confidencialidade dos documentos carregados, já que usuários autenticados podem observar identificadores de arquivos de outros usuários e recuperar conteúdo não autorizado. **Recomendações** Atualize para a versão 2.2.3 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Gokapi versions prior to 2.2.3 **Description** Gokapi, a self-hosted file sharing server, had a flaw in its login process. Before version 2.2.3, the login flow lacked CSRF protection, meaning credential-bearing requests weren’t properly linked to the user’s browser session. The system directly processed form values and established a session upon successful credential verification. This could allow an attacker to hijack a user's session if the attacker knows the credentials, potentially leading to user confusion and misuse of account access. **Recommendations** Update to version 2.2.3 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Gokapi anteriores a 2.2.3 **Descrição** Um usuário autenticado malicioso pode explorar XSS armazenado (XSS) ao fazer upload de arquivos SVG e criar um hotlink para eles. A funcionalidade de hotlinking não trata corretamente os scripts incluídos nos arquivos SVG, permitindo que atacantes autenticados com permissão para fazer upload de arquivos e criar hotlinks executem JavaScript arbitrário. **Recomendações** Atualize para a versão 2.2.3 ou posterior.

Nome do Software Vulnerável e Versões Afetadas Versões do Gokapi anteriores a 2.2.3 Descrição O Gokapi é um servidor de compartilhamento de arquivos auto-hospedado que inclui suporte para expiração automática e criptografia. Uma falha na lógica de rebaixamento de nível do usuário permite que as chaves de API existentes de um usuário rebaixado mantenham as permissões `ApiPermManageFileRequests` e `ApiPermManageLogs`. Isso permite acesso contínuo aos endpoints de gerenciamento de solicitações de upload e visualização de logs, mesmo após o usuário ter todas as suas permissões revogadas. Especificamente, qualquer usuário que anteriormente possuía o nível de Administrador e tinha chaves de API com `ApiPermManageFileRequests` ou `ApiPermManageLogs` mantém essas capacidades após o rebaixamento. Isso permite que usuários desligados ou rebaixados criem, listem e excluam solicitações de upload, além de lerem logs do aplicativo e o status do sistema. Os endpoints de API afetados incluem aqueles para gerenciar solicitações de upload e visualizar logs. Recomendações Atualize para a versão 2.2.3 ou posterior.