CVE-2026-28683

highPriorität · verfolgen · 0EPSS 0.002 · 9. PerzentilEUUS
grimoire priorityP2 · Scheduled
Exploitable?
—
no known exploitation
Likely / severe?
0.19% (9th) EPSS
CVSS 8.7 · high
Is it mine?
4 products
Prüfe deine Angriffsfläche
Who says so?
4 sources
cnnvd · enisa_euvd · osv · nvd

EPSS · bewertet 2026-10-27

Gokapi is a self-hosted file sharing server with automatic expiration and encryption support. Prior to version 2.2.3, if a malicious authenticated user uploads SVG and creates a hotlink for it, they can achieve stored XSS. This issue has been patched in version 2.2.3.

01

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.7
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.18.7highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:Nsecondary · ENISA EU
v3.18.7highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:Nsecondary · security-advisories@github.comAusnutzbarkeit 2.3 · Auswirkung 5.8
v3.18.7highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:Nsecondary · OSV
v3.18highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N/E:Usecondary · CVSS-BT (t0sche)
02

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS
03

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-79USCWE-79US
04

betroffene Produkte (4)

Betroffene Produkte und Versionsbereiche.

05

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

  • GHSA-3c22-5j5m-4jq7Gokapi has Stored XSS in SVG Hotlinks2026-03-05ghsa · osvUS

    ### Summary If a malicious authenticated user uploads SVG and creates a hotlink for it, they achieve stored XSS. ### Details The hotlinking functionality fails to properly handle scripts included in the SVGs, allowing authenticated attackers with the ability to upload and hotlink file to execute arbitrary JS. *Issue found by [aisafe.io](https://aisafe.io/)* ### Impact Authenticated attackers with the ability to upload and hotlink files can execute arbitrary JavaScript.

  • GO-2026-4612Gokapi has Stored XSS in SVG Hotlinks in github.com/forceu/gokapi2026-03-10vendor · osvUS

    Gokapi has Stored XSS in SVG Hotlinks in github.com/forceu/gokapi. NOTE: The source advisory for this report contains additional versions that could not be automatically mapped to standard Go module versions. (If this is causing false-positive reports from vulnerability scanners, please suggest an edit to the report.) The additional affected modules and versions are: github.com/forceu/gokapi before v2.2.3.

06

auch bekannt als (5)

Weitere Namen und Kennungen dieser Entität.

07

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdosvnvdNVDCVE.orgMITRE
veröffentlicht 2026-03-06geändert 2026-06-17
08

Referenzen (7)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan