Kavita: Path Traversal erlaubt unauthentifiziertes Lesen von Dateien über cover-upload

Zusammenfassung

Kavita, eine selbst gehostete digitale Bibliothek für Comics, Manga und E-Books, enthält eine Path Traversal-Schwachstelle im Cover-Upload-Endpunkt (/api/image/cover-upload). Nicht authentifizierte Angreifer können mit präparierten GET-Anfragen und '../'-Sequenzen im Parameter filename beliebige Dateien lesen, beispielsweise Konfigurationsdateien wie appsettings.json, die Geheimnisse enthalten können. Gemäss CVE betrifft die Auswirkung nur die Vertraulichkeit; das Hauptrisiko besteht für Instanzen, die aus dem Internet erreichbar sind.

Betroffen

• Kavita 0.5.2 bis und ohne 0.5.4.1 (gemäss CVE-Eintrag und CNA)

Behoben in

• Kavita 0.5.4.1 oder neuer (Security-Hotfix-Release)
• Die Release Notes nennen diese CVE nicht explizit, daher stützt sich die Zuordnung auf den betroffenen Versionsbereich.

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; ein Update ist die einzige dokumentierte Massnahme.
• Den Zugriff auf die Weboberfläche bis zum Patch einzuschränken (VPN oder authentifizierter Reverse Proxy) ist ein Vorschlag, keine Massnahme des Herstellers.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation-Status 'poc', automatisierbar: ja.
• Ein öffentliches Nuclei-Erkennungstemplate und ein öffentlicher huntr-Bericht existieren.
• Gemäss CVE-Text hat Shadowserver Ausnutzung am 18.10.2023 beobachtet; dies konnte nicht unabhängig verifiziert werden.
• Nicht im CISA-KEV-Katalog bestätigt; direkt prüfen.

Unsere Empfehlung

• Alle Kavita-Instanzen, einschliesslich Docker-Container, inventarisieren und Versionen unter 0.5.4.1 identifizieren.
• Auf die neueste stabile Version aktualisieren.
• Prüfen, ob die Weboberfläche aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
• Geheimnisse in Konfigurationsdateien auf exponierten Instanzen rotieren.
• Webserver-Logs auf Anfragen an /api/image/cover-upload mit '../' prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2022-51024 Kavita 0.5.4.1 unauthenticated path traversal (VulnCheck) www.vulncheck.com
• Kavita fix commit referenced by the CVE github.com
• Kavita security hotfix 0.5.4.1 release notes opencollective.com
• Kavita security policy github.com
• Nuclei template kavita-lfi github.com
• huntr bounty report huntr.com
• Strix CVE record CVE-2022-51024 www.strix.ai
• ThreatInt CVE-2022-51024 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:48.