CVE-2026-10044

Usagi-org ai-goofish-monitor proqramının Windows deployment-larında GET /api/prompts/{filename} son nöqtəsində (endpoint) autentifikasiya tələb etməyən ixtiyari faylların oxunması zəifliyi mövcuddur. Bu zəiflik, autentifikasiya olunmamış uzaq hücumçulara mütləq Windows yollarını və ya geri slash (\) əsaslı keçid ardıcıllıqlarını daxil etməklə ixtiyari faylları oxumağa imkan verir. Hücumçular yalnız ön slash (/) və '..' simvollarını bloklayan natamam yol keçidi mühafizəsini, Windows sistem fayllarının yerləşdiyi kimi mütləq yolları təqdim etməklə yan keçə bilərler; bu isə os.path.join funksiyasının nəzərdə tutulmuş prompts kataloq prefiksini silməsinə və tətbiq prosesi üçün əlçatan olan faylların açılmasına səbəb olur.