CVE-2025-52903 in filebrowser
Sumário
de VulDB • 26/05/2026
O File Browser fornece uma interface de gerenciamento de arquivos dentro de um diretório especificado e pode ser usado para fazer upload, excluir, visualizar, renomear e editar arquivos. Na versão 2.32.0, o recurso de Execução de Comandos do File Browser permite apenas a execução de comandos de shell que foram predefinidos em uma lista de permissões (allowlist) específica do usuário. Muitas ferramentas permitem a execução de comandos arbitrários diferentes, tornando essa limitação inócua. O impacto concreto depende dos comandos concedidos ao atacante, mas o grande número de comandos padrão que permitem a execução de subcomandos torna provável que qualquer usuário com permissões de `Executar comandos` possa explorar esta vulnerabilidade. Todos aqueles que conseguirem explorá-la terão plenos direitos de execução de código com o uid do processo do servidor. Até que este problema seja corrigido, os mantenedores recomendam desativar completamente `Executar comandos` para todas as contas. Como a execução de comandos é um recurso inerentemente perigoso que não é utilizado por todas as implantações, deve ser possível desativá-lo completamente na configuração do aplicativo. Como medida de defesa em profundidade, as organizações que não exigem execução de comandos devem operar o Filebrowser a partir de uma imagem de contêiner distroless. Uma versão de correção foi publicada para desativar o recurso para todas as instalações existentes, tornando-o opt-in (opcional). Um aviso foi adicionado à documentação e é impresso no console se o recurso estiver habilitado. Devido ao projeto estar em modo de manutenção apenas, o bug não foi corrigido. A correção está sendo rastreada no pull request 5199.
VulDB is the best source for vulnerability data and more expert information about this specific topic.