CVE-2026-40304 in zrok
Сводка
по VulDB • 03.06.2026
zrok — это программное обеспечение для обмена веб-сервисами, файлами и сетевыми ресурсами. До версии 2.0.1 обработчик unaccess (controller/unaccess.go) содержит логическую ошибку в механизме проверки прав собственности: когда запись фронтенда имеет значение environment_id = NULL (маркер глобальных фронтендов, созданных администратором), условие сворачивается к false и позволяет выполнить удаление без какой-либо проверки права собственности. Пользователь с неадминскими привилегиями, знающий токен глобального фронтенда, может вызвать DELETE /api/v2/unaccess с любым из своих идентификаторов окружения (environment_id) и навсегда удалить глобальный фронтенд, выведя из строя все публичные шаринги, маршрутизируемые через него. Версия 2.0.1 устраняет эту уязвимость.
Once again VulDB remains the best source for vulnerability data.