CVE-2025-48494
Açıklama
Gokapi, otomatik sona erme ve şifreleme desteğine sahip, kendi sunucunuzda barındırabileceğiniz bir dosya paylaşım sunucusudur. Uçtan uca şifreleme kullanıldığında, dosya adına gömülmüş JavaScript kodu içeren bir dosya yükleyerek saklanan siteler arası betik çalıştırma (XSS) zafiyeti istismar edilebilir. Yüklemeden sonra ve yükleme listesi her açıldığında betik ayrıştırılır. Versiyon 2.0.0 öncesinde herhangi bir kullanıcı izin sistemi uygulanmamıştı; bu nedenle, uçtan uca şifrelenmiş olsalar bile tüm kimliği doğrulanmış kullanıcılar tüm kaynakları görebiliyor ve değiştirebiliyordu, çünkü 2.0.0 öncesi versiyon kullanan tüm kullanıcılar için şifreleme anahtarının aynı olması gerekiyordu. Eğer bir kullanıcı Gokapi'yi kullanan tek kimliği doğrulanmış kullanıcı ise etkilenmezler. Bu sorun v2.0.0 sürümünde düzeltilmiştir. Olası bir geçici çözüm, uçtan uca şifrelemeyi devre dışı bırakmaktır.
Nasıl düzeltilir
- forceu gokapi2.0.0 ya da sonraki bir sürüm
- github.com/forceu/gokapi0.0.0-20250530191232-343cc566cfd7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| forceu gokapi | v < 2.0.0, 2.0.0 | 2.0.0 |
| github.com/forceu/gokapiGo | 1.0.1 ≤ v ≤ 1.9.6, v < 0.0.0-20250530191232-343cc566cfd7, Aralık belirtilmemiş | 0.0.0-20250530191232-343cc566cfd7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.