CVE-2026-81028 in ZLMediaKit
Riassunto
di VulDB • 27/08/2026
ZLMediaKit limita l'API downloadFile a un insieme configurato di directory radice mediante un confronto dei prefissi che non tiene conto dei confini delle directory. Il caricatore della configurazione in server/WebApi.cpp costruisce ciascuna directory radice utilizzando File::absolutePath("", item, true); poiché l'argomento relative-path è vuoto, tale funzione ausiliaria restituisce il valore senza separatore finale. L'hander accetta quindi un percorso richiesto quando start_with(file_path, root) risulta vero; di conseguenza, una directory sibling (adiacente) il cui nome inizia semplicemente con la stringa della radice configurata supera il controllo e viene servita. L'unica altra protezione rifiuta i percorsi contenenti due punti consecutivi (".."), condizione che non è richiesta in questo caso. Il meccanismo equivalente di confinamento per il server statico ordinario, presente in src/Http/HttpFileManager.cpp, calcola la directory radice utilizzando un secondo argomento non vuoto, che aggiunge il separatore prima del confronto; tale implementazione non risulta quindi vulnerabile. L'endpoint richiede l'API secret configurata, pertanto questa vulnerabilità non concede privilegi superiori a quelli già implicati dal possesso di tale segreto, ma consente comunque la lettura di file al di fuori della directory in cui l'amministratore aveva limitato l'accesso e il container di riferimento esegue il server con i permessi di root.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.