CVE-2025-52904
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
File Browser w wersjach 2.x umożliwia wykonywanie poleceń powłoki, co może prowadzić do nieautoryzowanego dostępu do plików poza przypisanym zakresem użytkownika. Funkcja ta, jeśli jest włączona, stwarza poważne zagrożenie dla bezpieczeństwa danych.
Ocena ryzyka
Organizacja naraża się na ryzyko nieautoryzowanego dostępu do wszystkich plików zarządzanych przez serwer, co może prowadzić do utraty danych lub ich modyfikacji przez atakującego.
Rekomendacja
Zaleca się całkowite wyłączenie funkcji 'Wykonaj polecenia' dla wszystkich kont, aby zminimalizować ryzyko. Administratorzy powinni również upewnić się, że ta funkcja jest domyślnie wyłączona w konfiguracji aplikacji.
Inne podatności w File Browser 2.x
Zobacz wszystkie- CVE-2026-82236Niskie
Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.
- CVE-2026-72837Wysokie
File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.
- CVE-2026-73612Wysokie
File Browser przed wersją v2.63.22 nie sprawdza poprawnie reguł dostępu dla elementów podrzędnych podczas rekurencyjnych operacji kopiowania, zmiany nazwy i usuwania, co pozwala uwierzytelnionym użytkownikom na obejście kontroli dostępu opartej na ścieżkach. Atakujący mogą kopiować, zmieniać nazwy lub usuwać zabronione pliki, operując na dozwolonym katalogu nadrzędnym, co narusza izolację opartą na regułach dla poufności i integralności.
- CVE-2026-55668Średnie
Podatność w File Browser przed wersją 2.63.16 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia i modyfikacji plików na tworzenie plików poza dozwolonym zakresem. Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (symlink) – sprawdzany jest najbliższy istniejący przodek, a następnie podąża się za dowiązaniem.
- CVE-2026-54089Krytyczne
File Browser to interfejs zarządzania plikami, który od wersji 2.0.0-rc.1 pozwala na podszywanie się pod użytkowników, w tym administratorów, przez nieautoryzowanych atakujących. Wystarczy wysłać sfałszowany nagłówek HTTP, aby uzyskać dostęp bez potrzeby podawania danych uwierzytelniających.
- CVE-2026-54088Krytyczne
File Browser przed wersją 2.63.6 zawierał lukę w funkcji Hook Authentication, która pozwalała na delegowanie weryfikacji logowania do zewnętrznego polecenia powłoki. Użytkownicy mogli wprowadzać dane logowania, które były interpolowane do tego polecenia bez sanitizacji, co umożliwiało atakującym zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2026-62684Niskie
File Browser przed wersją 2.63.17 bezpośrednio serializuje strukturę Link w funkcjach sharePostHandler, shareListHandler i shareGetsHandler, co powoduje ujawnienie password_hash i tokenu bypass w odpowiedziach API. Administrator może pobrać te sekrety dla udziałów każdego użytkownika, umożliwiając ataki offline na hasła i bezpośredni dostęp do chronionych udziałów.
- CVE-2026-73611Średnie
File Browser w wersjach od 2.50.0 do 2.63.21 nie weryfikuje wygaśnięcia JWT, gdy skonfigurowane jest uwierzytelnianie proxy z niestandardową stroną wylogowania. Atakujący z wcześniej ważnym tokenem mogą uzyskiwać dostęp do chronionych tras i punktów końcowych administracyjnych bezterminowo oraz wymieniać wygasłe tokeny na nowe za pośrednictwem punktu odnowienia.
- CVE-2026-62843Średnie
Podatność w File Browser od wersji 2.63.6 do 2.63.16 pozwala użytkownikowi z uprawnieniami do przesyłania plików na umieszczenie pliku o nazwie zawierającej backslash, który podczas pobierania i rozpakowywania archiwum przez innego użytkownika może uciec poza katalog docelowy. Problem wynika z użycia funkcji strings.ReplaceAll(nameInArchive, "\", "/") w konstruktorze archiwów, co przekształca nazwę POSIX, np. ..\..\evil.sh, w wpis archiwum ../../evil.sh.
- CVE-2026-62685Wysokie
W File Browser przed wersją 2.63.17, gdy włączone są opcje Signup i CreateUserDir, funkcja cleanUsername() normalizuje nazwy użytkowników w sposób, który może powodować kolizje (np. 'team/one', 'team one' i 'team-one' są mapowane do tego samego katalogu domowego). Pozwala to drugiemu rejestrującemu uzyskać pełny dostęp do plików innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. In versions of the web application on the 2.x branch, all users have a scope assigned, and they only have access to the files within that scope. The Command Execution feature of Filebrowser allows the execution of shell commands which are not restricted to the scope, potentially giving an attacker read and write access to all files managed by the server. Until this issue is fixed, the maintainers recommend to completely disable `Execute commands` for all accounts. Since the command execution is an inherently dangerous feature that is not used by all deployments, it should be possible to completely disable it in the application's configuration. This feature has been disabled by default for all installations from v2.33.8 onwards, including for existent installations. To exploit this vulnerability, the instance administrator must turn on a feature and ignore all the warnings about known vulnerabilities.