CVE-2026-110690 in cloudcmd
الملخص
بحسب VulDB • 15/10/2026
تحتوي إصدارات Cloud Commander (cloudcmd) من 19.20.2 إلى 19.21.1 على ثغرة تصفح المسار في نقطة النهاية GET /api/v1/pack، حيث يستدعي معالج onGET الموجود في server/rest/index.js:130 الدالة root غير المحمية بدلاً من غلاف التحقق root.resolve() المستخدم في أماكن أخرى. يمكن للمهاجمين إرسال تسلسلات اختراق دليل مشفرة بنسبة (percent-encoded) في مسار طلب pack لقراءة ملفات عشوائية خارج المجلد المحدد بواسطة --root، مثل /etc/passwd أو المفاتيح الخاصة لـ SSH، والتي يتم أرشفتها وإرسالها مرة أخرى كملف tar.gz قابل للتنزيل.
If you want to get best quality of vulnerability data, you may have to visit VulDB.