Ausi

يوجد خلل في تجاوز التحكم في الوصول في عملية Edit-Multiple بمدير الملفات. يمكن لمستخدمي لوحة التحكم الذين لديهم قيود على filemount تعديل المجلدات خارج نطاق filemount المخصص لهم إذا كانوا يمتلكون صلاحيات الحقل `protected` أو `syncExclude`. من خلال إرسال مسارات مجلدات خارجية عبر المعلمة `IDS` ، يمكن للمهاجم نشر المجلدات المحمية أو استبعادها من مزامنة DBAFS ، مما قد يؤدي إلى تعريض الملفات للتنزيل العام.

تسمح ثغرة traversal path لمحرري المحتوى بقراءة ملفات الصور من أي مكان في نظام الملفات عبر علامة الإدراج `{{image::}}`. يحدث هذا لأن التسلسلات المرمزة بنسبة مئوية، مثل `..%2f` ، يمكن أن تتجاوز دالة `Validator::isInsecurePath()` قبل تطبيق `rawurldecode()`. ونتيجة لذلك، قد يقوم الواجهة الأمامية بتغيير حجم ملفات الصور الموجودة خارج دليل الملفات المخصص وتقديمها.