CVE-2026-54910 in FileBrowser
요약
\~에 의해 VulDB • 2026. 07. 20.
FileBrowser Quantum은 무료이며 자체 호스팅되는 웹 기반 파일 관리자입니다. 버전 1.4.3-beta 이전의 `subtitlesHandler` 엔드포인트(`GET /api/media/subtitles`)는 두 가지 사용자 제어 쿼리 파라미터인 `path`와 `name`을 받으며, 이 둘 모두 정제(sanitization) 없이 파일 시스템 작업에 사용되어 두 개의 독립적인 경로 순회(path traversal) 벡터를 생성합니다. 주요 벡터는 `path` 파라미터입니다: 이는 `SanitizeUserPath()` 호출 없이 직접 `idx.GetRealPath()`로 전달되므로, 공격자가 스토리지 루트를 탈출하여 호스트의 임의 디렉토리로 `parentDir`을 설정할 수 있습니다. 기존 앵커 파일은 필요하지 않습니다. 두 번째 벡터는 `name` 파라미터입니다: 이는 디렉토리 구성 요소를 제거하지 않고 `filepath.Join(parentDir, name)`를 통해 `parentDir`과 결합되므로, 해결된 임의의 `parentDir`에 상대적인 경로 순회가 가능합니다. 모든 인증된 사용자(역할이나 권한 여부와 무관)는 서버 프로세스가 읽을 수 있는 `/etc/passwd`, SSH 키, 데이터베이스 자격 증명 및 JWT 서명 키를 포함한 임의의 텍스트 파일을 읽기 위해 두 벡터 중 하나를 악용할 수 있습니다. 버전 1.4.3-beta에서 해당 문제가 패치되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.