CVE-2026-26215

सारांश

manga-image-translator संस्करण beta-0.3 और उससे पहले के संस्करण, साझा API मोड में, एक असुरक्षित deserialization भेद्यता रखते हैं जो बिना प्रमाणीकरण के रिमोट कोड निष्पादन का कारण बन सकती है। FastAPI एंडपॉइंट /simple_execute/{method} और /execute/{method} हमलावर-नियंत्रित अनुरोध निकायों को pickle.loads() का उपयोग करके बिना सत्यापन के deserialize करते हैं। हालाँकि एक nonce-आधारित प्राधिकरण जाँच पहुँच को प्रतिबंधित करने के लिए होती है, nonce डिफ़ॉल्ट रूप से एक खाली स्ट्रिंग होता है और जाँच को छोड़ दिया जाता है, जिससे दूरस्थ हमलावर एक क्राफ्टेड pickle पेलोड भेजकर सर्वर संदर्भ में मनमाना कोड निष्पादित कर सकते हैं।

• -CVE-2026-26215-manga-image-translator-RCEPoC

  CVE-2026-26215 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो manga-image-translator में असुरक्षित pickle deserialization के माध्यम से एक बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन भेद्यता है।