PT-2026-38909 · Kavita · Kavita

Kevin Stubbings + 1 · CVE-2026-44776 · Publicado 2026-05-08 · Atualizado 2026-05-26

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.9

Média

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Kavita versões anteriores a 0.9.0

Descrição A falta de autorização ao nível de biblioteca nos endpoints de download, verificação de tamanho e metadados de capítulos permite que um usuário com baixos privilégios acesse conteúdo de bibliotecas às quais não está atribuído. Ao conhecer ou adivinhar o chapterId, volumeId ou seriesId, um invasor pode baixar o conteúdo completo dos arquivos, consultar tamanhos de arquivos e ler metadados. Os endpoints afetados são '/api/Download/volume-size', '/api/Download/chapter-size', '/api/Download/series-size', '/api/Download/volume', '/api/Download/chapter', '/api/Download/series' e '/api/Chapter'.

Recomendações Atualizar para a versão 0.9.0.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-44776

GHSA-X3JQ-95XW-GWVR

Produtos afetados

Kavita

Referências · 6

• 🔥 https://github.com/Kareadita/Kavita/security/advisories/GHSA-x3jq-95xw-gwvr · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44776.json · Exploit
• https://reddit.com/r/selfhosted/comments/1t75mtc/kavita_v090_release_and_cve_update_notice · Publicação no Reddit
• https://twitter.com/CVEnew/status/2059337163695632452 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-44776 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44776 · Nota de Segurança