FICHE CVE

CVE-2026-10044

Publiée le 2026-05-28 · Dernière modification le 2026-07-21

🇫🇷 EN BREF

Les installations de ai-goofish-monitor sur Windows sont sensibles à une faille dans le point de terminaison (endpoint) de l'API des prompts. Un attaquant distant non authentifié peut lire n'importe quel fichier du système hôte auquel l'application a accès en demandant des chemins Windows absolus. Cette opération est facile à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36

Publiée2026-05-28

Dernière modification2026-07-21

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Usagi-org ai-goofish-monitor contains an unauthenticated arbitrary file read vulnerability in the GET /api/prompts/{filename} endpoint on Windows deployments that allows unauthenticated remote attackers to read arbitrary files by supplying absolute Windows paths or backslash-based traversal sequences. Attackers can bypass the incomplete path traversal guard, which only blocks forward slashes and '..', by providing absolute paths such as Windows system file locations, causing os.path.join to discard the intended prompts directory prefix and expose files accessible to the application process.