CVE-2026-54563
Açıklama
Cloudreve, kendi kendine barındırılan bir dosya yönetim ve paylaşım sistemidir. 4.16.1 sürümünden önce, yapılandırılmış bir klasöre köklendirilmiş bir Cloudreve WebDAV hesabı, pkg/webdav/webdav.go içindeki stripPrefix fonksiyonunun çözümlenmiş istek son ekini kapsama kontrolü yapmadan fs.URI.JoinRaw ile hesap köküne eklemesi nedeniyle /dav/%2e%2e/outside.txt gibi yollar gönderebilir; bu durum, kapsamlı kimlik bilgilerinin yapılandırılmış klasör dışındaki dosyaları okumasına ve listelemesine, yazılabilir kimlik bilgilerinin ise bu dosyaları oluşturmasına, üzerine yazmasına, taşımasına veya silmesine olanak tanır. Bu sorunun 4.16.1 sürümünde düzeltildiği bildirilmiştir.
Nasıl düzeltilir
- github.com/cloudreve/Cloudreve/v44.0.0-20260606032813-26b6b1044b02 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/cloudreve/Cloudreve/v4Go | v < 4.0.0-20260606032813-26b6b1044b02 | 4.0.0-20260606032813-26b6b1044b02 |
| github.com/cloudreve/Cloudreve/v3Go | v ≤ 3.0.0-20250225100611-da4e44b77af4, Aralık belirtilmemiş | — |
| github.com/cloudreve/CloudreveGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.