CVE-2026-54910 in FileBrowser
Sumário
de VulDB • 20/07/2026
FileBrowser Quantum é um gerenciador de arquivos web gratuito e auto-hospedado. Antes da versão 1.4.3-beta, o endpoint `subtitlesHandler` (`GET /api/media/subtitles`) aceita dois parâmetros de consulta controlados pelo usuário: `path` (caminho) e `name` (nome), ambos utilizados em operações do sistema de arquivos sem sanitização, criando dois vetores independentes de traversal de caminho. O vetor principal é o parâmetro `path`: ele é passado diretamente para `idx.GetRealPath()` sem chamar `SanitizeUserPath()`, permitindo que um atacante escape da raiz de armazenamento e defina `parentDir` como qualquer diretório no host. Nenhum arquivo âncora existente é necessário. O vetor secundário é o parâmetro `name`: ele é concatenado com `parentDir` via `filepath.Join(parentDir, name)` sem remover componentes de diretório, permitindo traversal relativo a qualquer `parentDir` resolvido. Qualquer usuário autenticado (independentemente da função ou permissões) pode explorar um dos vetores para ler qualquer arquivo de texto legível pelo processo do servidor, incluindo `/etc/passwd`, chaves SSH, credenciais de banco de dados e chaves de assinatura JWT. A versão 1.4.3-beta corrige a vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.