CVE-2026-52792

Algernon kiçik, müstəqil və sırf Go dilində yazılmış veb serverdir. Versiya 1.17.9-a qədər, Windows üzərindəki Algernon engine/handlers.go faylında filepath.Ext() funksiyasını çağıraraq fayl idarəedicisini seçir, lakin bunu etməzdən əvvəl x.lua::$DATA, x.lua. və x.lua kimi NTFS ekvivalent adlarını rədd etmir. Autentifikasiya olunmamış kliyent .lua, .tl, .po2, .amber və ya .frm genişlənməsinə malik olan açıq server tərəfli skriptə bu sonluqlardan birini əlavə edə bilər. Sorğu yolu utils/files.go faylındakı URL2filename funksiyasından keçir, render və icra hallarını ötür və FilePage, os.Open, ReadAndLogErrors və ToClient funksiyalarına çatır, bu zaman NTFS aliası əsas skriptə yönləndirir. Nəticədə server skriptin xam mənbə kodunu qaytarır və verilənlər bazasının etibarnamələrini, API açarlarını və saxta sessiya kukilərinin yaradılmasına imkan verə bilən SetCookieSecret dəyərini ifşa edə bilər. Linux və macOS hostları bu problemdən təsirlənmir. Bu problem 1.17.9 versiyasında düzəldilib.