CVE-2026-54560
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Cloudreve w wersjach od 4.12.0 do 4.16.1 wystawia tokeny OAuth bez roszczenia client_id, przez co weryfikator JWT nie ładuje zakresów tokena do kontekstu żądania. Funkcja RequiredScopes traktuje takie żądanie jak uwierzytelnienie sesyjne bez zakresów, umożliwiając tokenom o niskim zakresie dostęp do API wymagających wyższych uprawnień, w tym do plików, udostępniania, przepływów pracy, ustawień użytkownika, kont WebDAV i potencjalnie zakresów administracyjnych.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wrażliwych zasobów i funkcji administracyjnych przez atakującego posiadającego token OAuth o niskim zakresie, co może prowadzić do wycieku danych, modyfikacji plików lub przejęcia konta.
Rekomendacja
Należy niezwłocznie zaktualizować Cloudreve do wersji 4.16.1 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Cloudreve
Zobacz wszystkie- CVE-2026-101051Niskie
Cloudreve przed wersją 4.16.1 nieprawidłowo sanityzuje ścieżki plików zwracane przez zdalne downloadery, co pozwala uwierzytelnionym użytkownikom tworzyć pliki poza wybranym katalogiem docelowym. Atakujący mogą wykorzystać sekwencje path traversal w metadanych downloadera do zapisu plików w nieoczekiwanych lokalizacjach.
- CVE-2026-101056Średnie
Cloudreve przed wersją 4.16.1 nie ponownie weryfikuje dostępu do udostępnionych zasobów podczas przywracania zapisanego stanu nawigacji z UUID context_hint. Atakujący, którzy wcześniej mieli ważny dostęp do udostępnienia, mogą odtworzyć zapisany hint i generować podpisane adresy URL plików przez maksymalnie 300 sekund po usunięciu udostępnienia, wygaśnięciu lub osiągnięciu limitu pobrań.
- CVE-2026-101048Średnie
Cloudreve przed wersją 4.17.0 rejestruje punkty testowe węzłów administracyjnych (POST /api/v4/admin/node/test i POST /api/v4/admin/node/test/downloader) bez wymagania zakresu OAuth Admin.Write, w przeciwieństwie do tras tworzenia/aktualizacji/usuwania węzłów. Klient OAuth autoryzowany przez administratora tylko z zakresem Admin.Read może przesyłać definicje węzłów kontrolowane przez atakującego i powodować wysyłanie przez serwer Cloudreve żądań wychodzących do dowolnych adresów URL, umożliwiając ślepe SSRF, sondowanie wewnętrznych usług i dostarczanie podpisanych żądań typu slave do wybranych przez atakującego punktów końcowych.
- CVE-2026-79913Średnie
W Cloudreve przed wersją 4.18.0 zabezpieczenie przed server-side request forgery (SSRF) ValidateExternalURL w pkg/request/ssrf.go przekazuje rozwiązane adresy do checkIP bez dekodowania form przejściowych IPv4-w-IPv6 NAT64, IPv4-compatible i 6to4. Uwierzytelniony użytkownik z dostępem do zdalnego pobierania może podać SrcUri poprzez RemoteDownloadTask.createDownloadTask, aby wrapper osadzający adres IPv4 loopback, prywatny, link-local lub cloud metadata został sklasyfikowany jako publiczny i pobrany, ujawniając odpowiedzi wewnętrznych usług i poświadczenia instancji chmury. Adresy IPv4-mapped IPv6 pozostają zablokowane, ponieważ Go konwertuje tę formę za pomocą net.IP.To4.
- CVE-2026-77637Niskie
Cloudreve przed wersją 4.18.0 ma brak middleware RequiredScopes(types.ScopeAdminWrite) na trasach narzędzi administracyjnych tool.GET("wopi") i tool.POST("mail"), które dziedziczą ScopeAdminRead. Aplikacja OAuth lub klucz API z uprawnieniami Admin.Read może sondować skonfigurowane usługi WOPI i wysyłać dowolne testowe e-maile przez konfigurację SMTP, przekraczając granice uprawnień tylko do odczytu.
- CVE-2026-77633Wysokie
Cloudreve to samodzielnie hostowany system zarządzania i udostępniania plików. Przed wersją 4.18.0 funkcja PrepareUpload sprawdza nieaktualną wartość pojemności użytkownika w pamięci, a następnie stosuje bezwarunkowe obciążenie pojemności poza tą samą transakcją egzekwującą limit. Uwierzytelniony użytkownik z uprawnieniem Files.Write może wysyłać równoczesne żądania sesji przesyłania, które odczytują ten sam stan pojemności, przechodzą kontrolę MaxStorage i rezerwują zadeklarowane rozmiary, przekraczając limit konta.
- CVE-2026-62323Średnie
W Cloudreve przed wersją 4.17.0, walidacja sesji WOPI używa tylko prefiksu session-id tokena dostępu i nie wymusza żądanej akcji, co pozwala złośliwemu przeglądającemu na sfałszowanie sufiksu tokena i wywołanie zapisu pliku.
- CVE-2026-55502Wysokie
Podatność w Cloudreve przed wersją 4.17.0, gdzie endpoint POST /api/v4/admin/policy/oauth/signin wymaga tylko uprawnienia Admin.Read, ale umożliwia modyfikację poświadczeń polityki przechowywania OneDrive bez uprawnienia Admin.Write, co pozwala na zmianę sekretu i app_id.
- CVE-2026-55499Średnie
W Cloudreve przed wersją 4.17.0, subskrypcja zdarzeń dla pojedynczego udostępnionego pliku rozpoznaje katalog nadrzędny właściciela i subskrybuje go, co pozwala uwierzytelnionemu odbiorcy na otrzymywanie informacji o nieudostępnionych plikach i folderach.
- CVE-2026-55497Średnie
Cloudreve przed wersją 4.17.0 zawiera podatność w dekoderach miniatur i awatarów, które ograniczają rozmiar skompresowanego pliku, ale nie ograniczają wymiarów pikseli po dekompresji. Uwierzytelniony użytkownik może przesłać mały plik PNG, JPEG lub GIF, który powoduje nieograniczoną alokację pamięci i zatrzymanie procesu Cloudreve z powodu krytycznego błędu braku pamięci.
Oryginalny opis (angielski, źródło NVD)
Cloudreve is a self-hosted file management and sharing system. From 4.12.0 until 4.16.1, Cloudreve's OAuth access tokens are issued without the OAuth client_id claim, so the JWT verifier does not load token scopes into request context and RequiredScopes treats the request like non-scoped session authentication, allowing a low-scope OAuth access token to call APIs requiring higher scopes such as file, share, workflow, user setting, WebDAV account, and potentially admin scopes. This issue is fixed in version 4.16.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS