CVE-2026-54910
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
FileBrowser Quantum przed wersją 1.4.3-beta zawiera dwie luki typu path traversal w endpointcie /api/media/subtitles. Parametry 'path' i 'name' nie są odpowiednio sanityzowane, co pozwala uwierzytelnionemu użytkownikowi (dowolna rola) na odczyt dowolnego pliku tekstowego na serwerze, w tym /etc/passwd, klucze SSH i dane uwierzytelniające.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików systemowych i aplikacji, co prowadzi do wycieku danych uwierzytelniających, kluczy prywatnych i innych sekretów.
Rekomendacja
Zaktualizuj FileBrowser Quantum do wersji 1.4.3-beta lub nowszej. Ogranicz dostęp do endpointu /api/media/subtitles tylko dla zaufanych użytkowników.
Inne podatności w FileBrowser Quantum
Zobacz wszystkie- CVE-2026-48777Krytyczne
FileBrowser Quantum w wersjach przed 1.3.2-stable, 1.4.0-beta i 1.4.1-beta jest podatny na atak typu Path Traversal. Problem występuje w publicPatchHandler, gdzie użytkownik może manipulować ścieżkami plików, co pozwala na operacje na plikach poza udostępnionym katalogiem.
- CVE-2026-44542Krytyczne
FileBrowser Quantum przed wersjami 1.3.1-stable i 1.3.9-beta ma lukę, która pozwala atakującemu na wykorzystanie kontrolowanego przez niego wejścia ścieżki do ucieczki z zamierzonego katalogu współdzielonego. Dzięki temu, nieautoryzowany atakujący z ważnym hashem publicznego udostępnienia i uprawnieniami do usuwania może usunąć dowolne pliki poza tym katalogiem.
- CVE-2026-54685Średnie
Podatność w FileBrowser Quantum przed wersją 1.3.2-beta. Endpoint `/api/auth/login` nie wykonuje się w stałym czasie, co umożliwia atakującemu odróżnienie istniejących użytkowników od nieistniejących na podstawie czasu odpowiedzi (atak timingowy).
- CVE-2026-46410Wysokie
Podatność w FileBrowser Quantum przed wersjami 1.3.2-stable i 1.4.1-beta może ujawniać wrażliwe informacje, takie jak źródło i ścieżka. Problem został naprawiony w wersjach 1.3.2-stable i 1.4.1-beta.
Oryginalny opis (angielski, źródło NVD)
FileBrowser Quantum is a free, self-hosted, web-based file manager. Prior to version 1.4.3-beta, the `subtitlesHandler` endpoint (`GET /api/media/subtitles`) accepts two user-controlled query parameters: `path` and `name`, both of which are used in filesystem operations without sanitization, creating two independent path traversal vectors. The primary vector is the `path` parameter: it is passed directly to `idx.GetRealPath()` without calling `SanitizeUserPath()`, allowing an attacker to escape the storage root and set `parentDir` to any directory on the host. No existing anchor file is required. The secondary vector is the `name` parameter: it is joined with `parentDir` via `filepath.Join(parentDir, name)` without stripping directory components, allowing traversal relative to any resolved `parentDir`. Any authenticated user (regardless of role or permissions) can exploit either vector to read any text file readable by the server process, including `/etc/passwd`, SSH keys, database credentials, and JWT signing keys. Version 1.4.3-beta patches the issue.