PT-2026-60182
CVE-2026-54563
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Cloudreve الأقدم من 4.16.1
الوصف
Cloudreve هو نظام لإدارة الملفات ومشاركتها يتم استضافته ذاتيًا. توجد ثغرة تسمح لحساب WebDAV الذي يقع جذره في مجلد تم تكوينه بالوصول إلى الملفات الموجودة خارج ذلك الدليل عن طريق إرسال مسارات مثل ’/dav/%2e%2e/outside.txt‘. يحدث هذا لأن الدالة
stripPrefix الموجودة في pkg/webdav/webdav.go تستخدم fs.URI.JoinRaw لربط لاحقة الطلب التي تم فك تشفيرها بجذر الحساب دون التحقق من الاحتواء. ونتيجة لذلك، يمكن لبيانات الاعتماد ذات النطاق المحدد قراءة الملفات الموجودة خارج المجلد المقصود وإدراجها في قائمة، كما يمكن لبيانات الاعتماد القابلة للكتابة إنشاء هذه الملفات أو الكتابة فوقها أو نقلها أو حذفها.التوصيات
التحديث إلى الإصدار 4.16.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾