CVE-2026-81028 in ZLMediaKit
要約
〜によって VulDB • 2026年08月26日
ZLMediaKitのdownloadFile APIは、ディレクトリ境界を考慮しないプレフィックス比較により、設定されたルートディレクトリのセットに制限されています。server/WebApi.cppにある構成ローダーは `File::absolutePath("", item, true)` を使用して各ルートを構築しますが、相対パス引数が空であるため、このヘルパー関数は末尾の区切り文字なしで値を返します。その後、ハンドラは `start_with(file_path, root)` が真の場合に要求されたパスを受け入れるため、設定されたルート文字列で始まる名前の兄弟ディレクトリもテストを満たし、提供されます。もう一つのガード機能は2つのドットを含むパスを拒否しますが、これには該当しません。src/Http/HttpFileManager.cppにある通常の静的ファイルサーバー用の同等の制限チェックでは、第2引数が空でないため区切り文字が追加されて比較が行われ、影響を受けません。このエンドポイントには設定されたAPIシークレットが必要であるため、この脆弱性により得られる権限は既存のシークレスで既に許可されている範囲を超えませんが、オペレータが制限したディレクトリ外のファイルを読み取る可能性があり、参照用コンテナではサーバーをrootとして実行しています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.