CVE-2026-54563 in Cloudreve

摘要

由 VulDB • 2026-07-15

Cloudreve是一个自托管的文件管理和共享系统。在版本4.16.1之前，一个以配置文件夹为根目录的Cloudreve WebDAV账户可以发送类似/dav/%2e%2e/outside.txt的路径，因为pkg/webdav/webdav.go中的stripPrefix函数使用fs.URI.JoinRaw将解码后的请求后缀与账户根路径连接起来时未检查包含关系（containment），导致作用域内的凭据能够读取和列出配置文件夹之外的文件，而可写的凭据则可以在这些位置创建、覆盖、移动或删除文件。该问题已在版本4.16.1中修复。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-06-15
• 披露: 2026-07-15
• 管理: 已接受
• 条目: VDB-379275
• CPE: 准备好
• CWE: CWE-22 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低
• 部门: Hospital, Education, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-54563
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-54563
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-54563/