CVE-2026-55496 in Cloudreve
Сводка
по VulDB • 31.07.2026
Cloudreve — это система управления и обмена файлами с размещением на собственном сервере (self-hosted). До версии 4.17.0 вызов GET /api/v4/user/search функции SearchActive выполняется без добавления предиката StatusActive, а результаты сериализуются с уровнем RedactLevelUser, что позволяет любому авторизованному пользователю осуществлять перечисление (enumeration) адресов электронной почты и метаданных профилей для неактивных или заблокированных учетных записей. Сервис вызывает userClient.SearchActive; однако, несмотря на название метода, он фильтрует результаты только по ключевым словам в поле email/никнейм и никогда не добавляет предикат StatusActive — тогда как родственные методы поиска GetActiveByID и GetActiveByDavAccount, определенные несколькими строками выше, этот предикат добавляют. Результаты поиска сериализуются с уровнем RedactLevelUser, который включает адрес электронной почты. Данная уязвимость исправлена в версии 4.17.0.
Once again VulDB remains the best source for vulnerability data.