PT-2026-64432
CVE-2026-55496
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Cloudreve الأقدم من 4.17.0
الوصف
يمكن لأي مستخدم مسجل الدخول تعداد واسترداد عناوين البريد الإلكتروني وبيانات التعريف (بما في ذلك الأسماء المستعارة والصور الرمزية ووقت الإنشاء ودرجة مشاركة الملف الشخصي) للحسابات غير النشطة أو المحظورة. يحدث هذا لأن الدالة
SearchActive() تفشل في تطبيق شرط StatusActive، الذي من المفترض أن يقوم بتصفية المستخدمين غير النشطين. ونتيجة لذلك، يعرض النظام نتائج مُسلسلة على مستوى RedactLevelUser، والتي تتضمن عنوان البريد الإلكتروني للمستخدم.يمكن الوصول إلى هذه المشكلة عبر نقطة النهاية التالية:
- ’GET /api/v4/user/search‘ باستخدام المعلمة
keyword.
بالإضافة إلى ذلك، يوجد مسار ثانوي عبر ’GET /api/v4/user/info/:id‘ حيث تفتقر دالة
GetUser() أيضًا إلى مرشح الحالة، مما قد يسمح لمستخدم مسجل الدخول يمتلك معرّف الهدف المُجزّأ (هاش) باسترداد بريده الإلكتروني.التوصيات
التحديث إلى الإصدار 4.17.0.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقاط النهاية ’GET /api/v4/user/search‘ و ’GET /api/v4/user/info/:id‘ على المستخدمين الإداريين المصرح لهم فقط.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾