CVE-2026-54563

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.16.1

Description Cloudreve é um sistema de compartilhamento e gerenciamento de arquivos auto-hospedado. Existe uma falha onde uma conta WebDAV enraizada em uma pasta configurada pode acessar arquivos fora desse diretório enviando caminhos como '/dav/%2e%2e/outside.txt'. Isso ocorre porque a função stripPrefix em pkg/webdav/webdav.go utiliza fs.URI.JoinRaw para unir o sufixo da requisição decodificado à raiz da conta sem verificar a contenção. Consequentemente, credenciais com escopo limitado podem ler e listar arquivos fora da pasta pretendida, e credenciais com permissão de escrita podem criar, sobrescrever, mover ou excluí-los.

Recommendations Atualizar para a versão 4.16.1.