CVE-2026-77637

Cloudreve to samodzielnie hostowany system zarządzania i udostępniania plików. Przed wersją 4.18.0 funkcja PrepareUpload sprawdza nieaktualną wartość pojemności użytkownika w pamięci, a następnie stosuje bezwarunkowe obciążenie pojemności poza tą samą transakcją egzekwującą limit. Uwierzytelniony użytkownik z uprawnieniem Files.Write może wysyłać równoczesne żądania sesji przesyłania, które odczytują ten sam stan pojemności, przechodzą kontrolę MaxStorage i rezerwują zadeklarowane rozmiary, przekraczając limit konta.

W Cloudreve przed wersją 4.18.0 zabezpieczenie przed server-side request forgery (SSRF) ValidateExternalURL w pkg/request/ssrf.go przekazuje rozwiązane adresy do checkIP bez dekodowania form przejściowych IPv4-w-IPv6 NAT64, IPv4-compatible i 6to4. Uwierzytelniony użytkownik z dostępem do zdalnego pobierania może podać SrcUri poprzez RemoteDownloadTask.createDownloadTask, aby wrapper osadzający adres IPv4 loopback, prywatny, link-local lub cloud metadata został sklasyfikowany jako publiczny i pobrany, ujawniając odpowiedzi wewnętrznych usług i poświadczenia instancji chmury. Adresy IPv4-mapped IPv6 pozostają zablokowane, ponieważ Go konwertuje tę formę za pomocą net.IP.To4.

W Cloudreve przed wersją 4.17.0, walidacja sesji WOPI używa tylko prefiksu session-id tokena dostępu i nie wymusza żądanej akcji, co pozwala złośliwemu przeglądającemu na sfałszowanie sufiksu tokena i wywołanie zapisu pliku.

Podatność w Cloudreve przed wersją 4.17.0, gdzie endpoint POST /api/v4/admin/policy/oauth/signin wymaga tylko uprawnienia Admin.Read, ale umożliwia modyfikację poświadczeń polityki przechowywania OneDrive bez uprawnienia Admin.Write, co pozwala na zmianę sekretu i app_id.

W Cloudreve przed wersją 4.17.0, subskrypcja zdarzeń dla pojedynczego udostępnionego pliku rozpoznaje katalog nadrzędny właściciela i subskrybuje go, co pozwala uwierzytelnionemu odbiorcy na otrzymywanie informacji o nieudostępnionych plikach i folderach.

Cloudreve przed wersją 4.17.0 zawiera podatność w dekoderach miniatur i awatarów, które ograniczają rozmiar skompresowanego pliku, ale nie ograniczają wymiarów pikseli po dekompresji. Uwierzytelniony użytkownik może przesłać mały plik PNG, JPEG lub GIF, który powoduje nieograniczoną alokację pamięci i zatrzymanie procesu Cloudreve z powodu krytycznego błędu braku pamięci.

Cloudreve przed wersją 4.17.0 zawiera podatność w punkcie końcowym GET /api/v4/user/search, który wywołuje SearchActive bez dodawania predykatu StatusActive i serializuje wyniki na poziomie RedactLevelUser. Pozwala to każdemu zalogowanemu użytkownikowi na wyliczenie adresów e-mail i metadanych profili dla nieaktywnych lub zablokowanych kont.

Cloudreve przed wersją 4.17.0 zawiera podatność w handlerze WOPI PUT_RELATIVE, który przekazuje X-WOPI-SuggestedTarget do URI.JoinRaw jako ścieżkę, a nie nazwę pliku. Umożliwia to użycie segmentów slash i dot-dot do opuszczenia katalogu pliku źródłowego i tworzenia lub warunkowego nadpisywania plików w innym miejscu na koncie tego samego właściciela.

W Cloudreve przed wersją 4.16.1, konto WebDAV z ograniczeniem do skonfigurowanego folderu może ominąć to ograniczenie poprzez wysłanie ścieżki zawierającej zakodowane znaki ".." (np. %2e%2e). Funkcja stripPrefix w pkg/webdav/webdav.go łączy zdekodowany sufiks żądania z ścieżką konta bez sprawdzania, czy wynik pozostaje w dozwolonym folderze, co pozwala na odczyt i listowanie plików poza nim, a w przypadku kont z uprawnieniami do zapisu także na tworzenie, nadpisywanie, przenoszenie lub usuwanie plików.

Cloudreve przed wersją 4.16.1 umożliwia użytkownikom niebędącym administratorami, posiadającym uprawnienia do zdalnego pobierania, pobieranie plików z wewnętrznych adresów URL (np. localhost, loopback) poprzez endpoint POST /api/v4/workflow/download. Podatność wynika z braku blokowania adresów pętli zwrotnej, localhost, IPv6 localhost oraz przekierowań do tych adresów.