CVE-2025-52903
Təsvir
File Browser müəyyən edilmiş kataloq daxilində faylların idarə edilməsi interfeysi təmin edir və ondan faylları yükləmək, silmək, önizləmək, adını dəyişmək və redaktə etmək üçün istifadə oluna bilər. 2.x budağının 2.33.10 versiyasından əvvəlki versiyalarında File Browser-in Command Execution funksiyası yalnız istifadəçiyə məxsus icazəli siyahıda (allowlist) əvvəlcədən təyin edilmiş shell əmrlərinin icrasına icazə verir. Bir çox alət ixtiyari fərqli əmrlərin icrasına imkan verir ki, bu da həmin məhdudiyyəti əhəmiyyətsiz edir. Konkret təsir hücumçuya verilmiş əmrlərdən asılıdır, lakin alt əmrlərin icrasına imkan verən standart əmrlərin çoxluğu, `Execute commands` icazələri olan hər bir istifadəçinin bu zəiflikdən istifadə edə bilməsini ehtimal edir. Bundan istifadə edə bilən hər kəs server prosesinin uid-si ilə tam kodun icrası hüquqlarına malik olacaqdır. 2.33.10 versiyası shell istifadə edildikdə əmrin icazəli olub-olmadığını yoxlayan yoxlama mexanizmini ehtiva edir.
Necə düzəltmək olar
- github.com/filebrowser/filebrowser/v22.33.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| filebrowser filebrowser | 2.32.0 | — |
| github.com/filebrowser/filebrowser/v2Go | v < 2.33.10 | 2.33.10 |
| github.com/filebrowser/filebrowserGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.