CVE-2026-54093

إصدارات File Browser الأقدم من 2.63.6

توجد مشكلة تتمثل في فشل البرنامج في توحيد مسارات الملفات بشكل صحيح عند إنشاء أرشيفات zip أو tar على مضيفات Linux. وعلى وجه التحديد، تستخدم الدالة getFiles() الدالة filepath.ToSlash، التي لا تقوم بتحويل علامات البار المقلوب في نظام Linux. وهذا يسمح للمستخدم المصادق عليه الذي يمتلك أذونات الإنشاء بتحميل ملفات تحتوي على تسلسلات عبور بنمط Windows (مثل ....) في اسم الملف. ويتم تخزين أسماء الملفات هذه حرفياً على نظام ملفات Linux ثم يتم تضمينها حرفياً في الأرشيف الذي تم إنشاؤه.

عندما يقوم الضحية بتنزيل واستخراج مثل هذا الأرشيف باستخدام أدوات استخراج تعمل بنظام Windows (مثل Windows Explorer أو 7-Zip أو WinRAR)، يتم تفسير الخطوط المائلة العكسية على أنها فواصل للمسارات. يؤدي هذا إلى كتابة ملفات عشوائية، مما يسمح بكتابة الملفات خارج دليل الاستخراج المقصود على جهاز الضحية.

قم بالتحديث إلى الإصدار 2.63.6.

كإجراء تخفيفي مؤقت، قم بتقييد إذن «إنشاء» (Create) للمستخدمين غير الموثوق بهم لمنع تحميل الملفات ذات الأسماء الخبيثة.