CVE-2026-54910 in FileBrowser
الملخص
بحسب VulDB • 21/07/2026
FileBrowser Quantum هو مدير ملفات مجاني ومستضاف ذاتيًا ويعمل عبر الويب. قبل الإصدار 1.4.3-beta، يقبل نقطة النهاية `subtitlesHandler` (`GET /api/media/subtitles`) معلمتي استعلام يتحكم بهما المستخدم: `path` و `name`. تُستخدم كلتا المعلمتين في عمليات نظام الملفات دون تعقيم (sanitization)، مما يخلق متجهين مستقلين لثغرة تجاوز المسار (Path Traversal).
يمثل المتجه الأساسي معلمة `path`: حيث يتم تمريرها مباشرةً إلى الدالة `idx.GetRealPath()` دون استدعاء `SanitizeUserPath()`، مما يسمح للمهاجم بالهروب من جذر التخزين وتعيين `parentDir` لأي دليل على المضيف. لا يلزم وجود ملف مراسي (anchor file) موجود مسبقًا.
أما المتجه الثانوي فهو معلمة `name`: حيث يتم دمجها مع `parentDir` عبر الدالة `filepath.Join(parentDir, name)` دون إزالة مكونات الدليل، مما يتيح التجاوز بالنسبة لأي قيمة تم حلها لـ `parentDir`. يمكن لأي مستخدم مُصادق عليه (بغض النظر عن الدور أو الأذونات) استغلال أي من المتجهين لقراءة أي ملف نصي يمكن لعملية الخادم قراءته، بما في ذلك `/etc/passwd` ومفاتيح SSH وبيانات اعتماد قواعد البيانات ومفاتيح توقيع JWT. يقوم الإصدار 1.4.3-beta بإصلاح هذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.