Gokapi has Data Leak in Upload Status Stream

TRUNG BÌNH 6.4CVE-2026-28682 · GHSA-c36c-7pc2-f2ph · GO-2026-4613 · Công bố 06/03/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-28682 là lỗ hổng mức TRUNG BÌNH (CVSS 6.4) ảnh hưởng github.com/forceu/gokapi, gokapi (forceu).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.14%, cao hơn 3.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.2.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/forceu/gokapi Go	`< 2.2.3mọi phiên bản`	`2.2.3`
gokapi forceu	`< 2.2.3`	`2.2.3`

Mô tả

Description

The upload status SSE implementation on /uploadStatus publishes global upload state to any authenticated listener and includes file_id values that are not scoped to the requesting user.

Impact

Any authenticated user can observe other users' file identifiers and retrieve unauthorized content, causing cross-tenant data exposure and loss of confidentiality for uploaded documents.

Issue found by aisafe.io

Mô tả của NVD

Gokapi is a self-hosted file sharing server with automatic expiration and encryption support. Prior to version 2.2.3, the upload status SSE implementation on /uploadStatus publishes global upload state to any authenticated listener and includes file_id values that are not scoped to the requesting user. This issue has been patched in version 2.2.3.

Tham khảo

Forceu/Gokapi security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-28682 · ADVISORY
Forceu/Gokapi · PACKAGE
Forceu/Gokapi release v2.2.3 · WEB

Lỗ hổng khác của github.com/forceu/gokapi

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

github.com/forceu/gokapi

< 2.2.3mọi phiên bản

2.2.3

gokapi

forceu

< 2.2.3