PT-2026-127183
CVE-2026-116682
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
FileBrowser Quantum الإصدارات السابقة لـ 1.5.2-stable
FileBrowser Quantum الإصدارات السابقة لـ 2.0.1-beta
Description
يفشل التعامل مع قراءة الملفات في التحقق مما إذا كان هدف الرابط الرمزي (symbolic link) الذي تم حله لا يزال ضمن جذر المصدر والنطاق المصرح به للمستخدم. يحدث هذا لأن الدالة
GetRealPath تقوم بحل الروابط الرمزية باستخدام filepath.EvalSymlinks ولكنها لا تجري فحص احتواء على المسار الناتج. وبناءً على ذلك، يمكن للمستخدم المصرح له الذي يملك صلاحية التنزيل، أو المستخدم غير المصرح له الذي يملك رابط مشاركة عام، الوصول إلى ملفات يمكن للخادم الوصول إليها خارج نطاقهم المحدد، مثل /etc/passwd أو مفاتيح SSH أو أسرار الحاوية، بشرط وجود رابط رمزي يمكن الوصول إليه. تؤثر هذه المشكلة على عدة تدفقات للقراءة، بما في ذلك نقاط النهاية الخاصة بالتنزيل والمعاينة والوسائط وOnlyOffice والمشاركة العامة.Recommendations
بالنسبة للإصدارات السابقة لـ 1.5.2-stable، قم بالتحديث إلى الإصدار 1.5.2-stable.
بالنسبة للإصدارات السابقة لـ 2.0.1-beta، قم بالتحديث إلى الإصدار 2.0.1-beta.
كإجراء تخفيف مؤقت، قم بتقييد إنشاء أو وجود الروابط الرمزية داخل المجلدات التي يتم تقديمها، خاصة في بيئات mount-bind.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾