CVE-2026-116682

FileBrowser Quantum pulsuz, özünə məxsus hostunda yerləşən, veb əsaslı fayl meneceridir. 1.5.2-stable və 2.0.1-beta versiyalarından əvvəl, backend/pkg/indexing/indexingFiles.go faylında faylların oxunması prosesi, həll edilmiş hədəfin mənbə kök dizini və istifadəçinin səlahiyyətli dairəsi daxilində qaldığını təsdiqləmədən GetRealPath vasitəsilə simvolik keçidləri (symbolic links) həll edir. Buna görə də, FollowSymlinks funksiyasının aktiv olduğu yükləmə, önizləmə, media, OnlyOffice və ictimai paylaşım oxuma axınları, əlçatan olan dairə daxili simvolik keçid vasitəsilə dairə kənarındakı hədəfi təmin edə bilər. Yükləmə hüququ olan autentifikasiya olunmuş istifadəçi təyin edilmiş dairədən kənarda olan server tərəfindən əlçatan faylları oxuya bilər və paylaşılan kataloq belə bir simvolik keçidi üzə çıxardıqda, ictimai paylaşım linkinə sahib şəxs hesabı olmadan eyni şeyi edə bilər. Bu problem 1.5.2-stable və 2.0.1-beta versiyalarında düzəldilmişdir.