CVE-2026-25726
Publiée le 2026-04-03 · Dernière modification le 2026-07-24
Les versions de Cloudreve antérieures à la 4.13.0 sont affectées par une faiblesse dans la manière dont les clés de sécurité sont générées aléatoirement. Un attaquant non authentifié disposant d'un accès réseau peut forcer ces clés en utilisant la date et l'heure de création du compte administrateur, lui permettant ainsi de forger des jetons de connexion et d'obtenir un contrôle administratif total du serveur. Bien que l'attaque nécessite un certain effort de calcul et des données temporelles précises, elle peut être exécutée sur un PC grand public standard en quelques heures.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Cloudreve is a self-hosted file management and sharing system. Prior to version 4.13.0, the application uses the weak pseudo-random number generator math/rand seeded with time.Now().UnixNano() to generate critical security secrets, including the secret_key, and hash_id_salt. These secrets are generated upon first startup and persisted in the database. An attacker can exploit this by obtaining the administrator's account creation time (via public API endpoints) to narrow the search window for the PRNG seed, and use known hashid to validate the seed. By brute-forcing the seed (demonstrated to take <3 hours on general consumer PC), an attacker can predict the secret_key. This allows them to forge valid JSON Web Tokens (JWTs) for any user, including administrators, leading to full account takeover and privilege escalation. This issue has been patched in version 4.13.0.