CVE-2026-54563 in Cloudreve
요약
\~에 의해 VulDB • 2026. 07. 15.
Cloudreve는 자체 호스팅 파일 관리 및 공유 시스템입니다. 버전 4.16.1 이전에서는 구성된 폴더를 루트로 하는 Cloudreve WebDAV 계정이 /dav/%2e%2e/outside.txt와 같은 경로를 전송할 수 있었습니다. 이는 pkg/webdav/webdav.go의 stripPrefix가 fs.URI.JoinRaw를 사용하여 디코딩된 요청 접미사를 계정 루트에 결합할 때 포함 관계(containment)를 확인하지 않기 때문입니다. 이로 인해 범위가 제한된 자격 증명으로 구성된 폴더 외부의 파일을 읽고 나열할 수 있으며, 쓰기 가능한 자격 증명으로는 해당 파일들을 생성, 덮어쓰기, 이동 또는 삭제할 수 있습니다. 이 문제는 버전 4.16.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.