CVE-2026-10044

Usagi-org ai-goofish-monitor, Windows dağıtımlarında GET /api/prompts/{filename} uç noktasında kimlik doğrulaması gerektirmeyen rastgele dosya okuma zafiyeti içermektedir; bu durum, kimlik doğrulaması yapmamış uzaktaki saldırganların mutlak Windows yolları veya ters eğik çizgi tabanlı dizin geçiş sekansları sağlayarak rastgele dosyaları okumasına olanak tanır. Saldırganlar, yalnızca ileri eğik çizgileri ve '..' ifadesini engelleyen eksik yol geçiş korumasını, Windows sistem dosyası konumları gibi mutlak yollar sağlayarak atlayabilir; bu da os.path.join fonksiyonunun hedeflenen prompts dizin önekini göz ardı etmesine ve uygulama sürecinin erişebildiği dosyaların açığa çıkmasına neden olur.