CVE-2026-81028 in ZLMediaKit
Zusammenfassung
von VulDB • 26.08.2026
ZLMediaKit limita l'API downloadFile a un insieme configurato di directory radice mediante un confronto dei prefissi che non tiene conto dei confini delle directory. Il caricatore della configurazione in server/WebApi.cpp costruisce ciascuna directory radice con File::absolutePath("", item, true); poiché l'argomento relative-path è vuoto, questa funzione ausiliaria restituisce il valore senza un separatore finale. L'handler accetta quindi un percorso richiesto quando start_with(file_path, root) risulta vero; di conseguenza, una directory sibling (adiacente) il cui nome inizia semplicemente con la stringa della radice configurata supera il test e viene servita. L'unica altra protezione rifiuta i percorsi contenenti due punti consecutivi, condizione che non è richiesta in questo caso. Il controllo di confinamento equivalente per il server statico standard in src/Http/HttpFileManager.cpp calcola la propria directory radice con un secondo argomento non vuoto, che aggiunge il separatore prima del confronto, e pertanto non è interessato. L'endpoint richiede il segreto API configurato; ciò quindi non concede privilegi superiori a quelli già implicati da tale segreto, ma consente di leggere file al di fuori della directory in cui l'amministratore lo ha confinato, e il contenitore di riferimento esegue il server come root (utente amministrativo).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.