CVE-2026-54910

FileBrowser Quantum pulsuz, öz serverində yerləşdirilən, veb əsaslı fayl meneceridir. 1.4.3-beta versiyasından əvvəl `subtitlesHandler` endpointi (`GET /api/media/subtitles`) istifadəçi tərəfindən idarə olunan iki sorğu parametrini qəbul edir: `path` və `name`; hər ikisi təmizlənmədən fayl sistemi əməliyyatlarında istifadə olunur və iki müstəqil yol keçmə (path traversal) vektorunu yaradır. Əsas vektor `path` parametridir: o, `SanitizeUserPath()` çağırılmadan birbaşa `idx.GetRealPath()`-ə ötürülür və hücumçuya saxlama kökündən çıxaraq `parentDir`-i hostdakı istənilən qovluğa təyin etməyə imkan verir. Mövcud anchor faylı tələb olunmur. İkinci dərəcəli vektor `name` parametridir: o, qovluq komponentləri çıxarılmadan `filepath.Join(parentDir, name)` vasitəsilə `parentDir` ilə birləşdirilir və istənilən həll edilmiş `parentDir`-ə nisbətən yol keçməsinə imkan verir. Hər hansı autentifikasiyadan keçmiş istifadəçi (rolundan və ya icazələrindən asılı olmayaraq) hər iki vektordan istifadə edərək server prosesi tərəfindən oxuna bilən istənilən mətn faylını, o cümlədən `/etc/passwd`, SSH açarları, verilənlər bazası etimadnamələri və JWT imzalama açarlarını oxuya bilər. 1.4.3-beta versiyası bu problemi aradan qaldırır.