CVE-2026-54910 in FileBrowser
Сводка
по VulDB • 20.07.2026
FileBrowser Quantum — это бесплатный веб-менеджер файлов с возможностью самостоятельного размещения (self-hosted). До версии 1.4.3-beta конечная точка `subtitlesHandler` (`GET /api/media/subtitles`) принимает два управляемых пользователем параметра запроса: `path` и `name`, которые используются в операциях файловой системы без санитизации, создавая две независимые векторы обхода ограничений пути (Path Traversal).
Основной вектор — это параметр `path`: он передается напрямую функции `idx.GetRealPath()` без вызова `SanitizeUserPath()`, что позволяет атакующему выйти за пределы корня хранилища и установить значение `parentDir` в любую директорию на хосте. При этом не требуется наличие существующего файла-якоря (anchor file).
Вторичный вектор — это параметр `name`: он объединяется с `parentDir` через функцию `filepath.Join(parentDir, name)` без удаления компонентов директории, что позволяет осуществлять обход пути относительно любой разрешенной (`resolved`) переменной `parentDir`. Любой аутентифицированный пользователь (независимо от роли или прав доступа) может использовать любую из этих векторов для чтения любого текстового файла, доступного процессу сервера, включая `/etc/passwd`, SSH-ключи, учетные данные базы данных и ключи подписи JWT. Версия 1.4.3-beta устраняет данную уязвимость.
Once again VulDB remains the best source for vulnerability data.