PT-2026-49069
CVE-2026-54097
·
تاريخ النشر
2026-06-12
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 4.0
7.2
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «File Browser» الأقدم من 2.63.6
الوصف
يمكن لمستخدم مُصَدَّق عليه ذي امتيازات منخفضة، يتمتع بأذونات الإنشاء والحذف في نطاقه المعزول الخاص، حذف سجلات روابط المشاركة الخاصة بأي مستخدم آخر، بما في ذلك المسؤول. يحدث هذا عندما يقوم المستخدم بإجراء عملية حذف (DELETE) لملف في دليله الخاص، يكون مساره المنطقي عبارة عن بادئة بايت لـ
share.Link.Path المخزّن الخاص بمستخدم آخر. تكمن المشكلة في دالة resourceDeleteHandler الموجودة في ملف http/resource.go، والتي تستدعي دالة DeleteWithPathPrefix() دون التحقق من ملكية سجلات المشاركة التي يتم حذفها. على الرغم من أن محتويات ملفات الضحية لا تتعرض للكشف، إلا أن روابط المشاركة تُمسح بشكل نهائي، مما قد يؤدي إلى حدوث حالة «رفض الخدمة» لميزة روابط المشاركة.التوصيات
التحديث إلى الإصدار 2.63.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾