CVE-2026-81028

ZLMediaKit, downloadFile API'sini yapılandırılmış bir kök dizin kümesiyle sınırlandırırken dizin sınırlarını hesaba katmayan bir önek karşılaştırması kullanır. server/WebApi.cpp içindeki yapılandırma yükleyicisi her kökü File::absolutePath("", item, true) ile oluşturur; göreli yol argümanı boş olduğundan bu yardımcı işlev değeri sonunda ayırıcı olmadan döndürür. Ardından işleyici, start_with(file_path, root) koşulu sağlandığında istenen yolu kabul eder; böylece adı yalnızca yapılandırılmış kök dizesiyle başlayan bir kardeş dizin testi geçer ve sunulur. Diğer tek koruma, iki nokta içeren bir yolu reddeder ve bu durum bunlardan hiçbirini gerektirmez. src/Http/HttpFileManager.cpp içindeki sıradan statik dosya sunucusu için eşdeğer sınırlandırma denetimi, kökünü boş olmayan ikinci bir argümanla hesaplar; bu, karşılaştırmadan önce ayırıcıyı ekler ve dolayısıyla etkilenmez. Uç nokta yapılandırılmış API gizli anahtarını gerektirdiğinden bu, o gizli anahtarın zaten ima ettiğinin ötesinde bir ayrıcalık tanımaz; ancak işletmecinin sınırlandırdığı dizinin dışındaki dosyaları okur ve referans kapsayıcı sunucuyu root olarak çalıştırır.