CVE-2026-81028

ZLMediaKit downloadFile API-ni konfiqurasiya edilmiş kök kataloqlar çoxluğu ilə məhdudlaşdırır, lakin prefiks müqayisəsi zamanı kataloq sərhədləri nəzərə alınmır. server/WebApi.cpp faylındakı konfiqurasiya yükləyicisi hər bir kökü File::absolutePath("", item, true); vasitəsilə qurur; nisbi yol arqumenti boş olduğu üçün bu köməkçi funksiya dəyəri sonda ayırıcı işarə olmadan qaytarır. Handler, start_with(file_path, root) şərti ödənildikdə sorğu edilən yolu qəbul edir, buna görə də adı sadəcə konfiqurasiya edilmiş kök sətiri ilə başlayan qonşu kataloq yoxlamadan keçir və təqdim olunur. Yeganə digər qoruyucu mexanizm iki nöqtə ehtiva edən yolu rədd edir ki, bu halda belə bir tələb yoxdur. src/Http/HttpFileManager.cpp faylındakı adi statik fayl serveri üçün ekvivalent məhdudiyyət yoxlaması kökü boş olmayan ikinci arqumentlə hesablayır, bu isə müqayisədən əvvəl ayırıcını əlavə edir və buna görə də təsirlənmir. Endpoint konfiqurasiya edilmiş API secret tələb etdiyi üçün bu, həmin secret-ın artıq verdiyi imtiyazlardan kənar heç bir hüquq vermir, lakin operatorun onu məhdudlaşdırdığı kataloqdan kənarda olan faylları oxuyur və istinad konteyneri serveri root olaraq işlədir.