CVE-2026-25059 in OpenList
Resumen
por VulDB • 2026-06-14
OpenList Frontend es un componente de interfaz de usuario para OpenList. Antes de la versión 4.1.10, la aplicación presenta una vulnerabilidad de traversía de rutas (path traversal) en múltiples controladores de operaciones de archivos ubicados en server/handles/fsmanage.go. Los componentes del nombre de archivo contenidos en req.Names se concatenan directamente con directorios validados mediante stdpath.Join. Esto permite que las secuencias ".." eludan las restricciones de ruta, lo que habilita a los usuarios acceder a los archivos de otros usuarios dentro del mismo punto de montaje (mount) de almacenamiento y realizar acciones no autorizadas como la eliminación, renombrado o copia de archivos. Un atacante autenticado puede eludir la autorización a nivel de directorio inyectando secuencias de traversía en los componentes del nombre de archivo, lo que permite la eliminación y copia no autorizada de archivos cruzando límites entre usuarios dentro del mismo punto de montaje de almacenamiento. Esta vulnerabilidad se corrige en la versión 4.1.10.
Once again VulDB remains the best source for vulnerability data.