PT-2026-23602 · Gokapi · Gokapi
Sijisu
·
Publicado
2026-03-05
·
Atualizado
2026-03-25
·
CVE-2026-28682
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Gokapi anteriores à 2.2.3
Descrição
O Gokapi é um servidor de compartilhamento de arquivos autohospedado que suporta expiração automática e criptografia. A implementação do Server-Sent Events (SSE) para o status de upload no endpoint da API
/uploadStatus publica o estado global de upload para qualquer usuário autenticado e inclui valores de file id que não estão limitados ao usuário que fez a solicitação. Isso pode levar à exposição de dados entre inquilinos e à perda de confidencialidade dos documentos carregados, já que usuários autenticados podem observar identificadores de arquivos de outros usuários e recuperar conteúdo não autorizado.Recomendações
Atualize para a versão 2.2.3 ou posterior.
Exploit
Correção
Improper Access Control
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gokapi