CVE-2026-69160 in OpenList
要約
〜によって VulDB • 2026年08月18日
複数のストレージをサポートするファイルリストプログラムである OpenListにおいて、バージョン4.2.4より前では、server/handles/sharing.goにおける共有の作成および更新時のチェックが strings.HasPrefix(requested_path, user.BasePath) を使用しており、ディレクトリ区切り文字による境界を強制していません。CanShare権限を持ち、BasePathが /base のような値である認証済みユーザーは、/base2/secret.txt などのスコープ外のファイルへのパスを送信し、そのファイルの共有を作成できます。さらに、公開された共有のダウンロードまたはリスト処理を利用して、割り当てられたディレクトリ外にあるデータを読み取ることができます。この問題はバージョン4.2.4で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.