CVE-2026-55496
Publiée le 2026-07-31 · Dernière modification le 2026-07-31
Les serveurs de gestion de fichiers Cloudreve antérieurs à la version 4.17.0 permettent à tout utilisateur connecté de découvrir les adresses e-mail et les métadonnées de profil des comptes bannis ou inactifs. Un attaquant a seulement besoin d'un compte utilisateur standard et d'un accès réseau au serveur pour effectuer cette énumération via l'API de recherche. Il s'agit d'un exploit de faible complexité qui ne nécessite aucune interaction de la part des comptes ciblés.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Cloudreve is a self-hosted file management and sharing system. Prior to 4.17.0, GET /api/v4/user/search calls SearchActive without adding a StatusActive predicate and serializes matches at RedactLevelUser, allowing any logged-in user to enumerate email addresses and profile metadata for inactive or banned accounts. The service calls userClient.SearchActive, but despite its name that method filters only by email/nickname keyword and never adds a StatusActive predicate — while the sibling lookups GetActiveByID and GetActiveByDavAccount, defined a few lines above it, do. Search hits are serialized at RedactLevelUser, which includes the email address. This issue is fixed in version 4.17.0.