CVE-2026-73509
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
OpenList, program do listowania plików obsługujący wiele magazynów, przed wersją 4.2.4, w uwierzytelnionym handlerze /api/fs/batch_rename w server/handles/fsbatch.go autoryzuje tylko katalog źródłowy utworzony przez user.JoinPath(req.SrcDir) i waliduje renameObject.NewName za pomocą checkRelativePath, ale nie waliduje kontrolowanego przez atakującego renameObject.SrcName, dostarczanego jako src_name, przed połączeniem go z autoryzowaną ścieżką i przekazaniem wyniku do fs.Rename. Użytkownik z uprawnieniami do zmiany nazw może użyć segmentów traversal w src_name, aby normalizacja ścieżki wybrała plik poza autoryzowanym katalogiem i skonfigurowaną ścieżką bazową, co skutkuje utratą integralności plików między użytkownikami, ograniczonym wpływem na dostępność i ujawnieniem istnienia plików poprzez odpowiedzi sukcesu lub błędu. Problem naprawiono w wersji 4.2.4.
Ocena ryzyka
Ryzyko naruszenia integralności plików innych użytkowników, ograniczonej dostępności oraz ujawnienia istnienia plików, co może prowadzić do wycieku informacji.
Rekomendacja
Zaktualizuj OpenList do wersji 4.2.4 lub nowszej, która zawiera poprawkę walidacji src_name.
Inne podatności w OpenList
Zobacz wszystkie- CVE-2026-102663Średnie
OpenList to program do listowania plików obsługujący wiele backendów storage. W wersjach przed 4.2.4 API wyszukiwania OpenList używa porównania strings.HasPrefix bez uwzględnienia separatora ścieżki jako sprawdzenia autoryzacji zawierania ścieżek przy autoryzacji globalnie zindeksowanych wyników Bleve względem BasePath ograniczonego użytkownika. Gdy wyszukiwanie Bleve jest włączone, ograniczony uwierzytelniony użytkownik może uzyskać wyniki z sąsiedniej ścieżki, która przechodzi test prefiksu.
- CVE-2026-75602Średnie
OpenList przed wersją 4.2.3 zawiera podatność w funkcji pobierania offline, która pozwala nieuprzywilejowanemu użytkownikowi na zapis plików poza katalogiem tymczasowym, co może prowadzić do tworzenia, nadpisywania lub modyfikacji dowolnych plików zapisywalnych przez proces OpenList. Podatność wynika z braku kontroli zawartości ścieżki w nazwie pliku pochodzącej z nagłówka Content-Disposition.
- CVE-2026-69160Średnie
OpenList, program do listowania plików obsługujący wiele magazynów, przed wersją 4.2.4 zawiera podatność polegającą na użyciu strings.HasPrefix(requested_path, user.BasePath) bez wymuszania separatora katalogów w funkcjach tworzenia i aktualizacji udostępnień. Uwierzytelniony użytkownik z uprawnieniem CanShare i BasePath takim jak /base może przesłać ścieżkę rodzeństwa, np. /base2/secret.txt, utworzyć udostępnienie dla pliku poza zakresem i użyć publicznych handlerów pobierania lub listowania do odczytu danych poza przydzielonym katalogiem. Problem naprawiono w wersji 4.2.4.
Oryginalny opis (angielski, źródło NVD)
OpenList a file list program that supports multiple storage. Prior to 4.2.4, the authenticated /api/fs/batch_rename handler in server/handles/fsbatch.go authorizes only the source directory produced by user.JoinPath(req.SrcDir) and validates renameObject.NewName with checkRelativePath, but does not validate attacker-controlled renameObject.SrcName, supplied as src_name, before concatenating it with the authorized path and passing the result to fs.Rename. A user with rename permission can use traversal segments in src_name to make path normalization select a file outside the authorized directory and configured base path, resulting in cross-user file integrity loss, limited availability impact, and file-existence disclosure through success or error responses. This issue is fixed in version 4.2.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS