CVE-2026-116682
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W FileBrowser Quantum przed wersjami 1.5.2-stable i 2.0.1-beta obsługa odczytu plików w backend/pkg/indexing/indexingFiles.go rozwiązuje dowiązania symboliczne przez GetRealPath bez potwierdzenia, że rozwiązany cel pozostaje w katalogu źródłowym i zakresie uprawnień użytkownika. Przepływy pobierania, podglądu, mediów, OnlyOffice i publicznego udostępniania z włączonym FollowSymlinks mogą udostępnić cel spoza zakresu przez osiągalne dowiązanie w zakresie; uwierzytelniony użytkownik z prawem pobierania może czytać pliki serwera poza przypisanym zakresem, a posiadacz publicznego linku może to zrobić bez konta, gdy udostępniony katalog zawiera takie dowiązanie.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików serwera poza przydzielonym zakresem, co może prowadzić do wycieku poufnych danych.
Rekomendacja
Zaktualizuj FileBrowser Quantum do wersji 1.5.2-stable lub 2.0.1-beta oraz rozważ wyłączenie FollowSymlinks, jeśli nie jest wymagane.
Inne podatności w FileBrowser Quantum
Zobacz wszystkie- CVE-2026-48777Krytyczne
FileBrowser Quantum w wersjach przed 1.3.2-stable, 1.4.0-beta i 1.4.1-beta jest podatny na atak typu Path Traversal. Problem występuje w publicPatchHandler, gdzie użytkownik może manipulować ścieżkami plików, co pozwala na operacje na plikach poza udostępnionym katalogiem.
- CVE-2026-44542Krytyczne
FileBrowser Quantum przed wersjami 1.3.1-stable i 1.3.9-beta ma lukę, która pozwala atakującemu na wykorzystanie kontrolowanego przez niego wejścia ścieżki do ucieczki z zamierzonego katalogu współdzielonego. Dzięki temu, nieautoryzowany atakujący z ważnym hashem publicznego udostępnienia i uprawnieniami do usuwania może usunąć dowolne pliki poza tym katalogiem.
- CVE-2026-54910Wysokie
FileBrowser Quantum przed wersją 1.4.3-beta zawiera dwie luki typu path traversal w endpointcie /api/media/subtitles. Parametry 'path' i 'name' nie są odpowiednio sanityzowane, co pozwala uwierzytelnionemu użytkownikowi (dowolna rola) na odczyt dowolnego pliku tekstowego na serwerze, w tym /etc/passwd, klucze SSH i dane uwierzytelniające.
- CVE-2026-54685Średnie
Podatność w FileBrowser Quantum przed wersją 1.3.2-beta. Endpoint `/api/auth/login` nie wykonuje się w stałym czasie, co umożliwia atakującemu odróżnienie istniejących użytkowników od nieistniejących na podstawie czasu odpowiedzi (atak timingowy).
- CVE-2026-46410Wysokie
Podatność w FileBrowser Quantum przed wersjami 1.3.2-stable i 1.4.1-beta może ujawniać wrażliwe informacje, takie jak źródło i ścieżka. Problem został naprawiony w wersjach 1.3.2-stable i 1.4.1-beta.
Oryginalny opis (angielski, źródło NVD)
FileBrowser Quantum is a free, self-hosted, web-based file manager. Prior to 1.5.2-stable and 2.0.1-beta, file read handling in backend/pkg/indexing/indexingFiles.go resolves symbolic links through GetRealPath without confirming that the resolved target remains inside the source root and the user's authorized scope. Download, preview, media, OnlyOffice, and public-share read flows that enable FollowSymlinks can therefore serve an out-of-scope target through a reachable in-scope symlink. An authenticated user with download access can read server-accessible files outside the assigned scope, and a holder of a public share link can do the same without an account when the shared directory exposes such a symlink. This issue is fixed in 1.5.2-stable and 2.0.1-beta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS