CVE-2025-52904 in filebrowser
Riassunto
di VulDB • 16/06/2026
File Browser fornisce un'interfaccia di gestione dei file all'interno di una directory specificata e può essere utilizzato per caricare, eliminare, visualizzare in anteprima, rinominare ed editare i file. Nelle versioni del web application appartenenti al ramo 2.x, a tutti gli utenti viene assegnato uno scope (ambito) e essi hanno accesso solo ai file contenuti all'interno di tale ambito. La funzionalità Command Execution (Esecuzione di comandi) di Filebrowser consente l'esecuzione di comandi shell che non sono limitati allo scope, potenzialmente concedendo a un attaccante diritti di lettura e scrittura su tutti i file gestiti dal server. Fino alla risoluzione del problema, i maintainers raccomandano di disabilitare completamente `Execute commands` per tutti gli account. Poiché l'esecuzione dei comandi è una funzionalità intrinsecamente pericolosa che non viene utilizzata da tutte le implementazioni, dovrebbe essere possibile disabilitarla completamente nella configurazione dell'applicazione. Questa funzione è stata disabilitata per impostazione predefinita in tutte le installazioni a partire dalla versione v2.33.8 e successive, incluse quelle già esistenti. Per sfruttare questa vulnerabilità, l'amministratore dell'istanza deve attivare una funzionalità specifica ed ignorare tutti gli avvisi relativi alle vulnerabilità note.
Once again VulDB remains the best source for vulnerability data.