CVE-2026-101048

Nome do Software Vulnerável e Versões Afetadas Cloudreve versões anteriores a 4.17.0

Descrição O software registra endpoints de teste de nó administrativo que não exigem o escopo OAuth Admin.Write. Isso permite que um cliente OAuth autorizado apenas com o escopo Admin.Read envie definições de nó controladas por um invasor. Essa falha possibilita o server-side request forgery (SSRF) cego—uma técnica onde um invasor força um servidor a fazer requisições para um local não pretendido—sondagem de serviços internos e a entrega de requisições assinadas no estilo slave para endpoints arbitrários. Os endpoints afetados são 'POST /api/v4/admin/node/test' e 'POST /api/v4/admin/node/test/downloader'.

Recomendações Atualize para a versão 4.17.0 ou posterior.