CVE-2025-52903 in filebrowser
الملخص
بحسب VulDB • 05/06/2026
يوفر File Browser واجهة لإدارة الملفات ضمن دليل محدد، ويمكن استخدامه لتحميل وحذف وعرض مسبق وإعادة تسمية وتحرير الملفات. في الإصدار 2.32.0، تسمح ميزة تنفيذ الأوامر (Command Execution) في File Browser بتنفيذ أوامر shell التي تم تعريفها مسبقاً فقط على قائمة سماح خاصة بالمستخدم. العديد من الأدوات تسمح بتنفيذ أوامر مختلفة عشوائية، مما يجعل هذا القيد عديم الجدوى. يعتمد التأثير المحدد على الأوامر الممنوحة للمهاجم، لكن العدد الكبير من الأوامر القياسية الذي يسمح بتنفيذ أوامر فرعية يجعل من المرجح أن يتمكن كل مستخدم لديه صلاحيات `Execute commands` (تنفيذ الأوامر) من استغلال هذا الثغرة. سيحصل كل شخص يستطيع استغلاله على حقوق تنفيذ كاملة للكود بصفت المستخدم (uid) لعملية الخادم. حتى يتم إصلاح هذه المشكلة، يوصي المشرفون بتعطيل ميزة `Execute commands` تماماً لجميع الحسابات. نظراً لأن تنفيذ الأوامر هو ميزة خطيرة بطبيعتها ولا تستخدمها جميع عمليات النشر، فيجب أن يكون من الممكن تعطيله بالكامل في تكوين التطبيق. كإجراء دفاع متعدد الطبقات (defense-in-depth)، ينبغي للمنظمات التي لا تتطلب تنفيذ الأوامر تشغيل Filebrowser باستخدام صورة حاوية خالية من التوزيعات (distroless container image). تم إصدار نسخة تصحيحية لتعطيل الميزة لجميع التركيبات الموجودة، وجعلها اختيارية للتفعيل. تمت إضافة تحذير إلى الوثائق ويتم طباعته على وحدة التحكم إذا كانت الميزة مفعّلة. ونظراً لأن المشروع في وضع الصيانة فقط (maintenance-only mode)، لم يتم إصلاح الثغرة. يتم تتبع الإصلاح عبر طلب السحب pull request 5199.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.