CVE-2026-54093

Nome do Software Vulnerável e Versões Afetadas File Browser versões anteriores a 2.63.6

Description Existe um problema onde o software não normaliza adequadamente os caminhos de arquivos ao criar arquivos zip ou tar em hosts Linux. Especificamente, a função getFiles() utiliza filepath.ToSlash, que não converte barras invertidas no Linux. Isso permite que um usuário autenticado com permissões de criação faça o upload de arquivos contendo sequências de travessia no estilo Windows (ex: ....) no nome do arquivo. Esses nomes são armazenados literalmente no sistema de arquivos Linux e, posteriormente, incluídos verbatim no arquivo compactado gerado.

Quando uma vítima baixa e extrai tal arquivo usando extratores baseados em Windows (como Windows Explorer, 7-Zip ou WinRAR), as barras invertidas são interpretadas como separadores de caminho. Isso leva a uma gravação arbitrária de arquivos, permitindo que arquivos sejam gravados fora do diretório de extração pretendido na máquina da vítima.

Recommendations Atualize para a versão 2.63.6. Como mitigação temporária, restrinja a permissão de Criação para usuários não confiáveis para evitar o upload de arquivos com nomes maliciosos.