CVE-2025-52903
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
File Browser w wersjach 2.x przed 2.33.10 ma lukę w funkcji wykonania poleceń, która pozwala na uruchamianie poleceń powłoki zdefiniowanych na liście dozwolonych dla użytkownika. Wiele narzędzi umożliwia wykonanie dowolnych poleceń, co czyni to ograniczenie nieefektywnym.
Ocena ryzyka
Atakujący, który ma uprawnienia do wykonywania poleceń, może uzyskać pełne prawa do wykonania kodu z identyfikatorem użytkownika procesu serwera, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji 2.33.10 lub nowszej, aby wprowadzić kontrolę dozwolonych poleceń przy użyciu powłoki.
Inne podatności w File Browser
Zobacz wszystkie- CVE-2026-82236Niskie
Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.
- CVE-2026-72837Wysokie
File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.
- CVE-2026-73612Wysokie
File Browser przed wersją v2.63.22 nie sprawdza poprawnie reguł dostępu dla elementów podrzędnych podczas rekurencyjnych operacji kopiowania, zmiany nazwy i usuwania, co pozwala uwierzytelnionym użytkownikom na obejście kontroli dostępu opartej na ścieżkach. Atakujący mogą kopiować, zmieniać nazwy lub usuwać zabronione pliki, operując na dozwolonym katalogu nadrzędnym, co narusza izolację opartą na regułach dla poufności i integralności.
- CVE-2026-55668Średnie
Podatność w File Browser przed wersją 2.63.16 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia i modyfikacji plików na tworzenie plików poza dozwolonym zakresem. Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (symlink) – sprawdzany jest najbliższy istniejący przodek, a następnie podąża się za dowiązaniem.
- CVE-2026-54089Krytyczne
File Browser to interfejs zarządzania plikami, który od wersji 2.0.0-rc.1 pozwala na podszywanie się pod użytkowników, w tym administratorów, przez nieautoryzowanych atakujących. Wystarczy wysłać sfałszowany nagłówek HTTP, aby uzyskać dostęp bez potrzeby podawania danych uwierzytelniających.
- CVE-2026-54088Krytyczne
File Browser przed wersją 2.63.6 zawierał lukę w funkcji Hook Authentication, która pozwalała na delegowanie weryfikacji logowania do zewnętrznego polecenia powłoki. Użytkownicy mogli wprowadzać dane logowania, które były interpolowane do tego polecenia bez sanitizacji, co umożliwiało atakującym zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2026-62684Niskie
File Browser przed wersją 2.63.17 bezpośrednio serializuje strukturę Link w funkcjach sharePostHandler, shareListHandler i shareGetsHandler, co powoduje ujawnienie password_hash i tokenu bypass w odpowiedziach API. Administrator może pobrać te sekrety dla udziałów każdego użytkownika, umożliwiając ataki offline na hasła i bezpośredni dostęp do chronionych udziałów.
- CVE-2026-73611Średnie
File Browser w wersjach od 2.50.0 do 2.63.21 nie weryfikuje wygaśnięcia JWT, gdy skonfigurowane jest uwierzytelnianie proxy z niestandardową stroną wylogowania. Atakujący z wcześniej ważnym tokenem mogą uzyskiwać dostęp do chronionych tras i punktów końcowych administracyjnych bezterminowo oraz wymieniać wygasłe tokeny na nowe za pośrednictwem punktu odnowienia.
- CVE-2026-62843Średnie
Podatność w File Browser od wersji 2.63.6 do 2.63.16 pozwala użytkownikowi z uprawnieniami do przesyłania plików na umieszczenie pliku o nazwie zawierającej backslash, który podczas pobierania i rozpakowywania archiwum przez innego użytkownika może uciec poza katalog docelowy. Problem wynika z użycia funkcji strings.ReplaceAll(nameInArchive, "\", "/") w konstruktorze archiwów, co przekształca nazwę POSIX, np. ..\..\evil.sh, w wpis archiwum ../../evil.sh.
- CVE-2026-62685Wysokie
W File Browser przed wersją 2.63.17, gdy włączone są opcje Signup i CreateUserDir, funkcja cleanUsername() normalizuje nazwy użytkowników w sposób, który może powodować kolizje (np. 'team/one', 'team one' i 'team-one' są mapowane do tego samego katalogu domowego). Pozwala to drugiemu rejestrującemu uzyskać pełny dostęp do plików innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. In versions on the 2.x branch prior to 2.33.10, the Command Execution feature of File Browser only allows the execution of shell command which have been predefined on a user-specific allowlist. Many tools allow the execution of arbitrary different commands, rendering this limitation void. The concrete impact depends on the commands being granted to the attacker, but the large number of standard commands allowing the execution of subcommands makes it likely that every user having the `Execute commands` permissions can exploit this vulnerability. Everyone who can exploit it will have full code execution rights with the uid of the server process. Version 2.33.10 contains a check for whether a command is allowed when using shell.