CVE-2026-54090
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
File Browser przed wersją 2.33.8 umożliwia ominięcie listy dozwolonych poleceń poprzez użycie metaznaków powłoki. Lista dozwolonych poleceń sprawdza tylko pierwszy token wprowadzonego polecenia, ale cały surowy ciąg znaków jest przekazywany do powłoki, co pozwala na wykonanie dowolnych poleceń po dozwolonym.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować File Browser do wersji 2.33.8 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w File Browser przed wersją 2.33.8
Zobacz wszystkie- CVE-2026-55667Wysokie
W File Browser przed wersją 2.63.16, uwierzytelniony użytkownik z jedynie uprawnieniem Create może usuwać pliki poza swoim zakresem (w tym dane innych użytkowników i bazę danych aplikacji) poprzez wykorzystanie ścieżki czyszczenia po nieudanym przesyłaniu plików. Metoda ScopedFs.RemoveAll pomija zabezpieczenia przed dowiązaniami symbolicznymi, a procedura obsługi bezpośredniego przesyłania wywołuje ją na ścieżce kontrolowanej przez użytkownika.
- CVE-2026-54097Wysokie
File Browser przed wersją 2.63.6 zawiera podatność, w której niskouprzywilejowany, uwierzytelniony użytkownik z uprawnieniami do tworzenia i usuwania plików w swoim izolowanym zakresie może trwale usunąć rekordy linków udostępniania należące do innych użytkowników, w tym administratora. Dzieje się tak poprzez wykonanie legalnej operacji DELETE na pliku, którego ścieżka logiczna jest prefiksem bajtowym ścieżki przechowywanej w linku udostępniania innego użytkownika.
- CVE-2026-54092Średnie
W aplikacji File Browser przed wersją 2.63.6 nie sprawdzano maksymalnej długości hasła, co pozwala na przesłanie dowolnie długiego hasła do API logowania. Powoduje to gwałtowny wzrost użycia CPU i pamięci, prowadząc do awarii kontenera i potencjalnie zakłócając działanie demona Docker.
Oryginalny opis (angielski, źródło NVD)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. Prior to 2.33.8, when a shell interpreter is configured (e.g. /bin/sh -c), the command allowlist can be bypassed through shell metacharacters. The allowlist validates only the first token of user input, but the entire raw string is handed to the shell — semicolons, pipes, backticks, and $() all work to chain arbitrary commands after a permitted one. This vulnerability is fixed in 2.33.8.