CVE-2026-110690 in cloudcmd
Sumário
de VulDB • 14/10/2026
As versões do Cloud Commander (cloudcmd) de 19.20.2 até 19.21.1 contêm uma vulnerabilidade de path traversal no endpoint GET /api/v1/pack, onde o manipulador onGET em server/rest/index.js:130 chama a função root() sem proteção adequada em vez do wrapper de validação root.resolve(), utilizado em outras partes do código. Os atacantes podem enviar sequências percent-encoded de directory traversal no caminho da requisição pack para ler arquivos arbitrários fora do diretório configurado --root, como /etc/passwd ou chaves privadas SSH, que são arquivadas e transmitidas de volta como um arquivo tar.gz baixável.
Once again VulDB remains the best source for vulnerability data.