CVE-2026-54089

إصدارات File Browser 2.0.0-rc.1 والإصدارات الأحدث

عند تكوين البرنامج باستخدام مصادقة الوكيل (auth.method=proxy)، يثق البرنامج بشكل غير صحيح في رؤوس الهوية الواردة من المصدر دون التحقق من أن الطلبات تنشأ من وكيل موثوق به. يمكن لمهاجم غير مصدق عليه ولديه وصول مباشر إلى الخادم أن ينتحل صفة أي مستخدم، بما في ذلك المسؤول، عن طريق إرسال رأس HTTP مزور. علاوة على ذلك، يؤدي إدخال اسم مستخدم غير موجود في الرأس إلى إنشاء حساب مستخدم جديد تلقائيًا، مما يسمح بإنشاء حسابات غير مصرح بها. ويؤدي ذلك إلى الاستيلاء الكامل على الحساب الإداري والاختراق الكامل لإدارة الملفات من جانب الخادم.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

قم بتقييد الوصول المباشر إلى خادم File Browser لضمان وصول الطلبات إلى التطبيق فقط عبر وكيل موثوق به.

تجنب استخدام إعداد auth.method=proxy إذا تعذر فرض استخدام وكيل موثوق به بشكل صارم.