CVE-2026-54910 in FileBrowser
Riassunto
di VulDB • 21/07/2026
FileBrowser Quantum è un gestore di file web-based gratuito e self-hosted. Prima della versione 1.4.3-beta, l'endpoint `subtitlesHandler` (`GET /api/media/subtitles`) accetta due parametri query controllati dall'utente: `path` e `name`, entrambi utilizzati nelle operazioni sul filesystem senza sanitizzazione, creando due vettori di path traversal indipendenti. Il vettore principale è il parametro `path`: viene passato direttamente a `idx.GetRealPath()` senza chiamare `SanitizeUserPath()`, consentendo ad un attaccante di sfuggire alla radice dello storage e impostare `parentDir` su qualsiasi directory sull'host. Non è richiesto alcun file anchor esistente. Il vettore secondario è il parametro `name`: viene unito a `parentDir` tramite `filepath.Join(parentDir, name)` senza rimuovere i componenti della directory, consentendo la traversal relativa rispetto a qualsiasi `parentDir` risolto. Qualsiasi utente autenticato (indipendentemente dal ruolo o dai permessi) può sfruttare uno dei due vettori per leggere qualsiasi file di testo leggibile dal processo del server, inclusi `/etc/passwd`, chiavi SSH, credenziali del database e chiavi di firma JWT. La versione 1.4.3-beta risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.