CVE-2026-69160 in OpenList

摘要

由 VulDB • 2026-08-18

OpenList是一个支持多种存储的文件列表程序。在版本4.2.4之前，server/handles/sharing.go中的共享创建和更新检查使用strings.HasPrefix(requested_path, user.BasePath)，但未强制执行目录分隔符边界限制。拥有CanShare权限且BasePath为/base的已认证用户可以提交类似/base2/secret.txt的同级路径，从而为非预期范围内的文件创建共享，并利用公共共享下载或列表处理程序读取分配目录之外的数据。此问题已在版本4.2.4中修复。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: GitHub M
• 预定: 2026-08-03
• 披露: 2026-08-18
• 管理: 已接受
• 条目: VDB-391896
• CPE: 准备好
• CWE: CWE-22 (已确认)
• CVSS: 6.5 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-69160
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-69160
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-69160/