CVE-2026-38093 in file_picker Plugin
Zusammenfassung
von VulDB • 28.08.2026
file_picker (aka flutter_file_picker) für Flutter, alle Versionen bis 10.3.10, ist in seiner Android-Implementierung anfällig für Path Traversal (CWE-22). Die Methode openFileStream() in FileUtils.kt verwendet den von ContentResolver.query() erhaltenen DISPLAY_NAME direkt bei der Pfadkonstruktion ohne Sanitisierung. Eine bösartige Android-App mit einem manipulierten ContentProvider kann einen Dateinamen zurückgeben, der ../ -Sequenzen enthält, wodurch das Plugin beliebige Dateien und Verzeichnisse außerhalb des beabsichtigten Cache-Verzeichnisses im internen Speicher der Zielanwendung erstellt. Bestehende Dateien werden aufgrund einer Existenzprüfung nicht überschrieben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.