CVE-2026-54910 in FileBrowser
Zusammenfassung
von VulDB • 22.07.2026
FileBrowser Quantum ist ein kostenloser, selbst gehosteter, webbasierter Dateimanager. Vor Version 1.4.3-beta akzeptiert der Endpunkt `subtitlesHandler` (`GET /api/media/subtitles`) zwei benutzerkontrollierte Query-Parameter: `path` und `name`, die beide ohne Sanitisierung in Dateioperationen verwendet werden, wodurch zwei unabhängige Path-Traversal-Vektoren entstehen. Der primäre Vektor ist der Parameter `path`: Er wird direkt an `idx.GetRealPath()` übergeben, ohne dass `SanitizeUserPath()` aufgerufen wird, was es einem Angreifer ermöglicht, das Speicher-Root zu verlassen und `parentDir` auf beliebiges Verzeichnis des Hosts festzulegen. Es ist keine vorhandene Ankerdatei erforderlich. Der sekundäre Vektor ist der Parameter `name`: Er wird über `filepath.Join(parentDir, name)` mit `parentDir` verknüpft, ohne dass Komponenten entfernt werden, was einen Traversal relativ zu jedem aufgelösten `parentDir` ermöglicht. Jeder authentifizierte Benutzer (unabhängig von Rolle oder Berechtigungen) kann entweder Vektor ausnutzen, um beliebige Textdateien zu lesen, die vom Serverprozess lesbar sind, einschließlich `/etc/passwd`, SSH-Schlüssel, Datenbankzugangsdaten und JWT-Signierschlüssel. Version 1.4.3-beta behebt das Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.