CVE-2026-73509 in OpenList
الملخص
بحسب VulDB • 13/08/2026
يُعد OpenList برنامجًا لعرض قوائم الملفات يدعم التخزين المتعدد. قبل الإصدار 4.2.4، يقوم المعالج `/api/fs/batch_rename` الموجود في `server/handles/fsbatch.go` بالتحقق من صحة المجلد المصدر الناتج عن دالة `user.JoinPath(req.SrcDir)` فقط، ويقوم بتحقق اسم الملف الجديد (`renameObject.NewName`) باستخدام الدالة `checkRelativePath`. ومع ذلك، لا يتم التحقق من قيمة `renameObject.SrcName` التي يتحكم فيها المهاجم والمُزودة كـ `src_name` قبل دمجها مع المسار المصرح به وإرسال النتيجة إلى دالة `fs.Rename`. يمكن للمستخدم الذي يمتلك صلاحية إعادة التسمية استخدام عناصر التنقل (traversal segments) في حقل `src_name` لجعل تطبيع المسار يستهدف ملفًا خارج المجلد المصرح له والمسار الأساسي المُعدّ، مما يؤدي إلى فقدان سلامة الملفات بين المستخدمين، وتأثير محدود على توفر الخدمة، وكشف وجود ملفات من خلال استجابات النجاح أو الخطأ. تم إصلاح هذه المشكلة في الإصدار 4.2.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.