CVE-2026-54560

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões 4.12.0 through 4.16.0

Description Tokens de acesso OAuth são emitidos sem a reivindicação client id. Consequentemente, o verificador JWT (JSON Web Token) não carrega os escopos do token no contexto da requisição. Isso faz com que a função RequiredScopes trate as requisições como autenticação de sessão não escopada, permitindo que um token com permissões baixas acesse APIs que exigem escopos superiores, incluindo arquivos, compartilhamentos, fluxos de trabalho, configurações de usuário, contas WebDAV e, potencialmente, funções administrativas.

Recommendations Atualizar para a versão 4.16.1.