CVE-2026-111332
CVE-2026-111332 · OxiCloud 0.9.1 through 0.9.3 Incorrect Authorization via Share Ring Cookie
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
OxiCloud 0.9.1 through 0.9.3 contains an incorrect authorization vulnerability that allows anonymous visitors to keep share access after password protection is added. Attackers holding an existing oxi_shares share-ring cookie can request content via GET /api/files/{id} to read shared files or folder contents despite the new password.
CVSS 6.3 · Mittel · EPSS 0,3%
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
oxicloud
- Softwareversionen
- ≥ 0.9.1, ≤ 0.9.3: Betroffen (semver)
Keine Korrektur veröffentlicht
Originalquellen
- https://hackmd.io/@hieuPenguinnn/oxicloud-share-password-grant-not-revoked
- https://github.com/AtalayaLabs/OxiCloud/blob/v0.9.3/src/application/services/share_service.rs#L497-L538
- https://github.com/AtalayaLabs/OxiCloud/blob/v0.9.3/src/infrastructure/services/share_ring.rs#L173-L195
- https://github.com/AtalayaLabs/OxiCloud
- https://www.vulncheck.com/advisories/oxicloud-0.9.1-through-0.9.3-incorrect-authorization-via-share-ring-cookie
- https://nvd.nist.gov/vuln/detail/CVE-2026-111332