CVE-2026-55499

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.17.0

Description Um destinatário autenticado de um compartilhamento de arquivo único pode acessar metadados de atividade de arquivos e pastas localizados na pasta pai do proprietário que não deveriam ter sido compartilhados. Isso ocorre porque o sistema resolve a raiz do compartilhamento para a pasta pai do proprietário e inscreve o usuário no tópico dessa pasta, falhando em restringir o fluxo de eventos ao arquivo compartilhado específico. Consequentemente, o destinatário pode receber Eventos Enviados pelo Servidor (Server-Sent Events) em tempo real contendo nomes, caminhos, alvos de renomeação, tipos de eventos e identificadores hashed de arquivos e pastas irmãos.

Detalhes técnicos incluem:

Recommendations Atualize para a versão 4.17.0. Como mitigação temporária, restrinja o acesso ao endpoint GET /api/v4/file/events para usuários com permissões de compartilhamento de arquivo único.