PT-2026-23603 · Gokapi · Gokapi

Sijisu · Publicado 2026-03-05 · Atualizado 2026-03-25 · CVE-2026-28683

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Gokapi anteriores a 2.2.3

Descrição Um usuário autenticado malicioso pode explorar XSS armazenado (XSS) ao fazer upload de arquivos SVG e criar um hotlink para eles. A funcionalidade de hotlinking não trata corretamente os scripts incluídos nos arquivos SVG, permitindo que atacantes autenticados com permissão para fazer upload de arquivos e criar hotlinks executem JavaScript arbitrário.

Recomendações Atualize para a versão 2.2.3 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-28683

GHSA-3C22-5J5M-4JQ7

GO-2026-4612

SUSE-SU-2026:1042-1

Produtos afetados

Gokapi

Referências · 141

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/28xxx/CVE-2026-28683.json · Exploit
• https://github.com/Forceu/Gokapi/security/advisories/GHSA-3c22-5j5m-4jq7 · Aviso do Fabricante
• https://github.com/Forceu/Gokapi/releases/tag/v2.2.3 · Nota
• https://github.com/Forceu/Gokapi · Nota
• https://twitter.com/VulmonFeeds/status/2029963494351573017 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2029830948045607406 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-31961 · Nota
• https://suse.com/security/cve/CVE-2026-29054 · Nota
• https://suse.com/security/cve/CVE-2026-30961 · Nota
• https://suse.com/security/cve/CVE-2026-27946 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-28683 · Nota de Segurança
• https://suse.com/security/cve/CVE-2026-31817 · Nota
• https://suse.com/security/cve/CVE-2026-29771 · Nota
• https://suse.com/security/cve/CVE-2026-29073 · Nota
• https://suse.com/security/cve/CVE-2026-30955 · Nota