CVE-2025-48495
Açıklama
Gokapi, otomatik sona erme ve şifreleme desteğine sahip, kendi sunucunuzda barındırabileceğiniz bir dosya paylaşım sunucusudur. Bir API anahtarının dost adını yeniden adlandırarak, kimliği doğrulanmış bir kullanıcı, API anahtarı genel bakışına JS enjekte edebilir; bu kod, başka bir kullanıcı kendi API sekmesine tıkladığında da çalıştırılır. Versiyon 2.0.0 öncesinde herhangi bir kullanıcı izin sistemi uygulanmamıştı, bu nedenle tüm kimliği doğrulanmış kullanıcılar, uçtan uca şifrelenmiş olsa bile tüm kaynakları görebiliyor ve değiştirebiliyordu; çünkü 2.0.0 öncesi versiyonlarda şifreleme anahtarının tüm kullanıcılar için aynı olması gerekiyordu. Eğer bir kullanıcı Gokapi'yi kullanan tek kimliği doğrulanmış kullanıcı ise etkilenmez. Bu sorun v2.0.0 sürümünde düzeltilmiştir. Geçici çözüm olarak, başka bir kullanıcının kod enjekte etmiş olma ihtimali varsa API sayfasının açılmaması önerilir.
Nasıl düzeltilir
- forceu gokapi2.0.0 ya da sonraki bir sürüm
- github.com/forceu/gokapi0.0.0-20250530185940-65ddbc68fbfd ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| forceu gokapi | v < 2.0.0, 2.0.0 | 2.0.0 |
| github.com/forceu/gokapiGo | 1.0.1 ≤ v ≤ 1.9.6, v < 0.0.0-20250530185940-65ddbc68fbfd, Aralık belirtilmemiş | 0.0.0-20250530185940-65ddbc68fbfd |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.