CVE-2026-77637
Açıklama
Cloudreve, kendi kendine barındırılan bir dosya yönetim ve paylaşım sistemidir. 4.18.0 sürümünden önce, routers/router.go içerisindeki tool.GET("wopi") ve tool.POST("mail"), ScopeAdminRead yetkisini devralmakta ancak komşu durum değiştirici yönetici araç rotalarına uygulanan RequiredScopes(types.ScopeAdminWrite) ara yazılımını atlamaktadır. Bu nedenle, Admin.Read ile sınırlandırılmış bir OAuth uygulaması veya API anahtarı, yapılandırılmış WOPI servis uç noktalarını sorgulayabilir ve sunucu SMTP yapılandırması üzerinden rastgele test e-postaları gönderebilir; böylece belirtecin amaçlanan salt okunur yetkilendirme sınırını aşabilir. Bu sorun 4.18.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/cloudreve/Cloudreve/v44.0.0-20260715070110-bce08f88e9d8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/cloudreve/Cloudreve/v4Go | v < 4.0.0-20260715070110-bce08f88e9d8 | 4.0.0-20260715070110-bce08f88e9d8 |
| github.com/cloudreve/CloudreveGo | Aralık belirtilmemiş | — |
| github.com/cloudreve/Cloudreve/v3Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.