CVE-2026-77633

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.18.0

Description Um usuário autenticado com a permissão Files.Write pode explorar uma condição de corrida de Tempo de Verificação para Tempo de Uso (TOCTOU) na função PrepareUpload em pkg/filemanager/fs/dbfs/upload.go. O sistema separa a verificação da cota de armazenamento, realizada por validateUserCapacity(), da cobrança real de armazenamento, realizada por CommitWithStorageDiff(), em duas etapas não atômicas. Isso permite que um usuário envie solicitações de sessão de upload simultâneas que leiam o mesmo snapshot de armazenamento em memória desatualizado e passem na verificação de MaxStorage simultaneamente.

Essa falha pode ser usada para reservar armazenamento que excede significativamente a cota da conta e a capacidade do disco físico do host. Ao completar esses uploads fragmentados, um invasor pode esgotar o armazenamento do host, resultando em uma negação de serviço que impede outros usuários de fazer upload de arquivos. A política de armazenamento local padrão e o grupo User padrão são afetados.

Recommendations Atualize o Cloudreve para a versão 4.18.0.