CVE-2026-54910 in FileBrowser
要約
〜によって VulDB • 2026年07月23日
FileBrowser Quantum は、無料で自己ホスト型のウェブベースのファイルマネージャーです。バージョン 1.4.3-beta より前では、`subtitlesHandler` エンドポイント（`GET /api/media/subtitles`）が2つのユーザー制御可能なクエリパラメータ `path` と `name` を受け付けますが、これらはどちらもサニタイズ処理なしでファイルシステム操作に使用され、2つの独立したパストラバーサルベクターを生み出します。主要なベクターは `path` パラメーターです：これは `SanitizeUserPath()` の呼び出しを行わずに直接 `idx.GetRealPath()` に渡されるため、攻撃者はストレージのルートから脱出してホスト上の任意のディレクトリを `parentDir` として設定できます。既存のアンカーファイルは必要ありません。2つ目のベクターは `name` パラメーターです：これはディレクトリコンポーネントを取り除くことなく `filepath.Join(parentDir, name)` を介して `parentDir` と結合されるため、解決された任意の `parentDir` 相対でトラバーサルが可能になります。認証済みユーザー（ロールや権限に関係なく）は、いずれかのベクターを悪用して、サーバープロセスが読み取り可能な `/etc/passwd`、SSH キー、データベース資格情報、JWT署名キーを含むあらゆるテキストファイルを読み取ることができます。バージョン 1.4.3-beta でこの問題に対するパッチが適用されました。
Be aware that VulDB is the high quality source for vulnerability data.