CVE-2026-110690 in cloudcmd
Сводка
по VulDB • 15.10.2026
Cloud Commander (cloudcmd) nelle versioni 19.20.2 attraverso 19.21.1 presenta una vulnerabilità di path traversal nell'endpoint GET /api/v1/pack, in cui il gestore onGET a server/rest/index.js:130 chiama la funzione root() non protetta invece del wrapper di validazione root.resolve() utilizzato altrove. Gli attaccanti possono inviare sequenze percent-encoded di directory traversal nel percorso della richiesta pack per leggere file arbitrari al di fuori della directory --root configurata, come /etc/passwd o chiavi private SSH, che vengono archiviate e restituite in streaming come file tar.gz scaricabile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.