CVE-2026-79913

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.18.0

Description Um usuário autenticado com acesso a download remoto pode realizar um Server-Side Request Forgery (SSRF) ao fornecer um SrcUri especialmente manipulado através da função RemoteDownloadTask.createDownloadTask. A proteção contra SSRF ValidateExternalURL em pkg/request/ssrf.go utiliza a função checkIP(), que falha ao decodificar certas formas de transição IPv4-em-IPv6, incluindo endereços NAT64, IPv4-compatíveis e 6to4. Como esses wrappers são classificados como endereços IPv6 globais públicos, um invasor pode burlar a proteção para acessar endereços IPv4 internos de loopback, privados, link-local ou de metadados de nuvem (como 169.254.169.254). Isso pode levar à exposição de respostas de serviços internos e ao roubo de credenciais de função IAM de instâncias em nuvem.

Recommendations Atualize o Cloudreve para a versão 4.18.0 ou posterior. Como mitigação temporária, restrinja o uso do parâmetro SrcUri no fluxo de download remoto apenas a domínios confiáveis.