Gokapi vulnerable to Privilege Escalation in File Replace

TRUNG BÌNH 4.1CVE-2026-30943 · GHSA-j6jp-78w8-34x6 · GO-2026-4696 · Công bố 13/03/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-30943 là lỗ hổng mức TRUNG BÌNH (CVSS 4.1) ảnh hưởng github.com/forceu/gokapi, gokapi (forceu).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.19%, cao hơn 8.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.2.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/forceu/gokapi Go	`< 2.2.4mọi phiên bản`	`2.2.4`
gokapi forceu	`< 2.2.4`	`2.2.4`

Mô tả

Summary

An insufficient authorization check in the file replace API allows a user with only list visibility permission (UserPermListOtherUploads) to delete another user's file by abusing the deleteNewFile flag, bypassing the requirement for UserPermDeleteOtherUploads.

Impact

Any authenticated user with PERM_REPLACE (replace own files) and PERM_LIST (view other users' uploads) can delete any other user's file without needing PERM_DELETE.

Mô tả của NVD

Gokapi is a self-hosted file sharing server with automatic expiration and encryption support. Prior to 2.2.4, An insufficient authorization check in the file replace API allows a user with only list visibility permission (UserPermListOtherUploads) to delete another user's file by abusing the deleteNewFile flag, bypassing the requirement for UserPermDeleteOtherUploads. This vulnerability is fixed in 2.2.4.

Tham khảo

Forceu/Gokapi security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-30943 · ADVISORY
Forceu/Gokapi · PACKAGE
Forceu/Gokapi release v2.2.4 · WEB
pkg.go.dev/vuln/GO-2026-4696 · WEB

Lỗ hổng khác của github.com/forceu/gokapi

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

github.com/forceu/gokapi

< 2.2.4mọi phiên bản

2.2.4

gokapi

forceu

< 2.2.4