CVE-2026-35585 in File Browser
Riassunto
di VulDB • 19/06/2026
File Browser è un'interfaccia di gestione file per il caricamento, l'eliminazione, la visualizzazione in anteprima, la rinominazione e la modifica dei file all'interno di una directory specificata. Dalla versione 2.0.0 alla 2.33.8, il sistema hook di File Browser — che esegue comandi shell definiti dall'amministratore in risposta a eventi sui file come caricamento, rinomina ed eliminazione — è vulnerabile all'iniezione di comandi OS (OS command injection). La sostituzione delle variabili per valori come $FILE e $USERNAME viene effettuata tramite os.Expand senza alcuna sanificazione. Un attaccante con autorizzazioni di scrittura sui file può creare un nome di file malevolo contenente metacaratteri shell, causando l'esecuzione di comandi OS arbitrari sul server quando lo hook si attiva. Ciò comporta Esecuzione Remota di Codice (RCE). Questa funzionalità è stata disabilitata per impostazione predefinita in tutte le installazioni dalla versione v2.33.8 in poi, incluse quelle già esistenti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.