CVE-2026-55496

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.17.0

Descrição Qualquer usuário autenticado pode enumerar e recuperar endereços de e-mail e metadados de perfil (incluindo apelidos, avatares, data de criação e visibilidade de compartilhamento de perfil) de contas inativas ou banidas. Isso ocorre porque a função SearchActive() não aplica um predicado StatusActive, que deveria filtrar usuários não ativos. Consequentemente, o sistema retorna resultados serializados em RedactLevelUser, que inclui o endereço de e-mail do usuário.

O problema é acessível através do seguinte endpoint:

Além disso, existe um caminho secundário via 'GET /api/v4/user/info/:id' onde a função GetUser() também carece de um filtro de status, permitindo potencialmente que um usuário autenticado com o ID hash de um alvo recupere seu e-mail.

Recomendações Atualize para a versão 4.17.0. Como medida de mitigação temporária, restrinja o acesso aos endpoints 'GET /api/v4/user/search' e 'GET /api/v4/user/info/:id' apenas a usuários administrativos autorizados.