CVE-2026-44542
KrytyczneStreszczenie
FileBrowser Quantum przed wersjami 1.3.1-stable i 1.3.9-beta ma lukę, która pozwala atakującemu na wykorzystanie kontrolowanego przez niego wejścia ścieżki do ucieczki z zamierzonego katalogu współdzielonego. Dzięki temu, nieautoryzowany atakujący z ważnym hashem publicznego udostępnienia i uprawnieniami do usuwania może usunąć dowolne pliki poza tym katalogiem.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego usunięcia plików, co może prowadzić do utraty danych i zakłócenia działalności. W szczególności, atakujący może usunąć pliki, które są krytyczne dla funkcjonowania systemu.
Rekomendacja
Zaleca się aktualizację do wersji 1.3.1-stable lub 1.3.9-beta, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień do publicznych udostępnień, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Inne podatności w FileBrowser Quantum
Zobacz wszystkie- CVE-2026-48777Krytyczne
FileBrowser Quantum w wersjach przed 1.3.2-stable, 1.4.0-beta i 1.4.1-beta jest podatny na atak typu Path Traversal. Problem występuje w publicPatchHandler, gdzie użytkownik może manipulować ścieżkami plików, co pozwala na operacje na plikach poza udostępnionym katalogiem.
- CVE-2026-54910Wysokie
FileBrowser Quantum przed wersją 1.4.3-beta zawiera dwie luki typu path traversal w endpointcie /api/media/subtitles. Parametry 'path' i 'name' nie są odpowiednio sanityzowane, co pozwala uwierzytelnionemu użytkownikowi (dowolna rola) na odczyt dowolnego pliku tekstowego na serwerze, w tym /etc/passwd, klucze SSH i dane uwierzytelniające.
- CVE-2026-54685Średnie
Podatność w FileBrowser Quantum przed wersją 1.3.2-beta. Endpoint `/api/auth/login` nie wykonuje się w stałym czasie, co umożliwia atakującemu odróżnienie istniejących użytkowników od nieistniejących na podstawie czasu odpowiedzi (atak timingowy).
- CVE-2026-46410Wysokie
Podatność w FileBrowser Quantum przed wersjami 1.3.2-stable i 1.4.1-beta może ujawniać wrażliwe informacje, takie jak źródło i ścieżka. Problem został naprawiony w wersjach 1.3.2-stable i 1.4.1-beta.
Oryginalny opis (angielski, źródło NVD)
FileBrowser Quantum is a free, self-hosted, web-based file manager. Prior to 1.3.1-stable and 1.3.9-beta, attacker-controlled path input is joined with a trusted base path prior to sanitization, allowing traversal sequences (e.g., ../) to escape the intended shared directory. As a result, an unauthenticated attacker possessing a valid public share hash with delete permissions enabled can delete arbitrary files outside the shared directory within the share owner’s configured storage scope. This affects public/api/resources and public/api/resources/bulk. This vulnerability is fixed in 1.3.1-stable and 1.3.9-beta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS