CVE-2026-79913
Təsvir
Cloudreve özünə məxsus fayl idarəetmə və paylaşım sistemidir. 4.18.0 versiyasından əvvəl, pkg/request/ssrf.go faylındakı ValidateExternalURL server tərəfli sorğu saxtakarlığına (SSRF) qarşı mühafizə mexanizmi, həll edilmiş ünvanları NAT64, IPv4-uyğun və 6to4 IPv4-in-IPv6 keçid formalarını dekod etmədən checkIP funksiyasına ötürür. Uzaqdan yükləmə girişinə malik autentifikasiya olunmuş istifadəçi, RemoteDownloadTask.createDownloadTask vasitəsilə SrcUri təqdim edərək loopback, şəxsi, link-local və ya bulud metadata IPv4 ünvanını ehtiva edən bir örtüyü (wrapper) ictimai kimi təsnif etdirib çağıra bilər ki, bu da daxili xidmət cavablarının və bulud instansiya etibarnamələrinin ifşa olmasına səbəb olur. IPv4-map edilmiş IPv6 ünvanları bloklanmış qalır, çünki Go bu formanı net.IP.To4 ilə çevirir. Bu problem 4.18.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/cloudreve/Cloudreve/v44.0.0-20260715072853-1c5cad6dec7e və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/cloudreve/Cloudreve/v4Go | v < 4.0.0-20260715072853-1c5cad6dec7e | 4.0.0-20260715072853-1c5cad6dec7e |
| github.com/cloudreve/CloudreveGo | Aralıq göstərilməyib | — |
| github.com/cloudreve/Cloudreve/v3Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.