CVE-2026-77637

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.18.0

Description Existe uma falha de bypass de escopo de privilégios na API de administração devido à aplicação inconsistente de middleware em routers/router.go. Enquanto a maioria das rotas de ferramentas administrativas que alteram o estado requerem ScopeAdminWrite, os endpoints 'tool.GET("wopi")' e 'tool.POST("mail")' herdam apenas ScopeAdminRead. Isso permite que um aplicativo OAuth ou chave de API restrita ao acesso administrativo de apenas leitura exceda seu limite de autorização. Consequentemente, um invasor com tal token pode sondar endpoints de serviço WOPI (Web Open Word Processing Interface) configurados e enviar e-mails de teste arbitrários usando a configuração SMTP do servidor.

Recommendations Atualize para a versão 4.18.0. Como medida paliativa temporária, restrinja a emissão de tokens OAuth ou chaves de API com escopo Admin.Read apenas a entidades altamente confiáveis.