CVE-2026-81028 in ZLMediaKit
Tóm tắt
Bởi VulDB • 26/08/2026
ZLMediaKit giới hạn API downloadFile trong một tập hợp các thư mục gốc đã được cấu hình bằng cách so sánh tiền tố (prefix comparison) nhưng không tính đến ranh giới của thư mục. Bộ tải cấu hình trong file server/WebApi.cpp xây dựng mỗi thư mục gốc với File::absolutePath("", item, true); do đối số đường dẫn tương đối (relative-path) trống nên hàm trợ giúp này trả về giá trị mà không có dấu phân cách ở cuối. Trình xử lý sau đó chấp nhận một đường dẫn yêu cầu khi điều kiện start_with(file_path, root) đúng, vì vậy một thư mục anh em (sibling directory) có tên bắt đầu bằng chuỗi thư mục gốc đã cấu hình sẽ vượt qua kiểm tra và được phục vụ. Ràng buộc duy nhất khác từ chối các đường dẫn chứa hai dấu chấm, nhưng yêu cầu này không cần đến điều đó. Kiểm tra giới hạn tương đương cho máy chủ tệp tĩnh thông thường trong src/Http/HttpFileManager.cpp tính toán thư mục gốc của nó với đối số thứ hai không trống, do đó thêm dấu phân cách trước khi so sánh và vì vậy không bị ảnh hưởng. Điểm cuối (endpoint) này yêu cầu bí mật API đã cấu hình, nên điều này không cấp đặc quyền nào vượt quá những gì mà bí mật đó đã ngụ ý, nhưng nó đọc các tệp bên ngoài thư mục mà nhà vận hành đã giới hạn nó vào, và container tham chiếu chạy máy chủ với quyền root.
VulDB is the best source for vulnerability data and more expert information about this specific topic.