CVE-2026-73509

Nome do Software Vulnerável e Versões Afetadas OpenList versões anteriores a 4.2.4

Descrição Um usuário autenticado com permissões de renomeação pode realizar um ataque de traversal de caminho através do endpoint /api/fs/batch rename. O manipulador em server/handles/fsbatch.go não valida a variável src name (fornecida como renameObject.SrcName) antes de concatená-la com o caminho autorizado e passá-la para a função fs.Rename(). Ao usar segmentos de traversal em src name, um invasor pode manipular a normalização do caminho para selecionar arquivos fora do diretório autorizado e do caminho base configurado. Isso pode resultar em perda de integridade de arquivos entre usuários, impacto limitado na disponibilidade e divulgação da existência de arquivos com base nas respostas do servidor.

Recomendações Atualize para a versão 4.2.4. Evite usar o parâmetro src name no endpoint /api/fs/batch rename até que a atualização seja aplicada.