CVE-2026-54910 in FileBrowser
Resumen
por VulDB • 2026-07-20
FileBrowser Quantum es un gestor de archivos web gratuito y autoalojado. Antes de la versión 1.4.3-beta, el punto final `subtitlesHandler` (`GET /api/media/subtitles`) acepta dos parámetros de consulta controlados por el usuario: `path` (ruta) y `name` (nombre), que se utilizan en operaciones del sistema de archivos sin sanitización, lo que crea dos vectores independientes de traversal de rutas. El vector principal es el parámetro `path`: se pasa directamente a `idx.GetRealPath()` sin llamar a `SanitizeUserPath()`, permitiendo a un atacante escapar de la raíz de almacenamiento y establecer `parentDir` en cualquier directorio del host. No se requiere ningún archivo ancla existente. El vector secundario es el parámetro `name`: se une con `parentDir` mediante `filepath.Join(parentDir, name)` sin eliminar los componentes de directorio, lo que permite realizar traversal relativo a cualquier `parentDir` resuelto. Cualquier usuario autenticado (independientemente del rol o permisos) puede explotar cualquiera de estos vectores para leer cualquier archivo de texto legible por el proceso del servidor, incluidos `/etc/passwd`, claves SSH, credenciales de bases de datos y claves de firma JWT. La versión 1.4.3-beta corrige la vulnerabilidad.
VulDB is the best source for vulnerability data and more expert information about this specific topic.