CVE-2026-35585

إصدارات File Browser من 2.0.0 إلى 2.33.8

نظام الـ”هوك“ (hook) في متصفح الملفات، الذي ينفذ أوامر شل (shell) يحددها المسؤول أثناء أحداث الملفات مثل التحميل وإعادة التسمية والحذف، معرض لخطر حقن أوامر نظام التشغيل. تحدث المشكلة في الدالة Runner.exec() داخل الملف runner/runner.go، حيث يتم استبدال المتغيرات لقيم مثل $FILE و$USERNAME باستخدام os.Expand دون تنقية مناسبة. يمكن لمهاجم تمت مصادقته ولديه أذونات كتابة الملفات إنشاء اسم ملف ضار يحتوي على أحرف خاصة في شل. وعندما يتم تشغيل الـ«هوك»، يقوم الخادم بتنفيذ هذه الأحرف كأوامر تعسفية لنظام التشغيل، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). ويمكن استغلال هذا النمط عبر أحداث «هوك» متنوعة، بما في ذلك before upload وafter upload وbefore rename وafter rename وbefore delete وafter delete.

قم بالتحديث إلى الإصدار 2.33.8 أو أحدث، حيث يتم تعطيل ميزة الـ«hook» افتراضيًا بدءًا من هذا الإصدار فصاعدًا.

كحل مؤقت، قم بتعطيل نظام الـ«hook» أو تقييد استخدام الدالة Runner.exec() حتى يتم تحديث البرنامج.