CVE-2025-52903
Açıklama
File Browser, belirtilen bir dizin içerisinde dosya yönetimi arayüzü sağlar ve dosyaları yüklemek, silmek, önizlemek, yeniden adlandırmak ve düzenlemek için kullanılabilir. 2.x dalının 2.33.10 öncesindeki sürümlerinde, File Browser'ın Komut Çalıştırma özelliği yalnızca kullanıcıya özel bir izin verilenler listesinde önceden tanımlanmış olan kabuk komutlarının çalıştırılmasına izin verir. Birçok araç, rastgele farklı komutların çalıştırılmasına izin vererek bu kısıtlamayı geçersiz kılmaktadır. Somut etki, saldırgana verilen komutlara bağlıdır ancak alt komutların çalıştırılmasına izin veren çok sayıdaki standart komut, `Execute commands` izinlerine sahip her kullanıcının bu zafiyeti istismar etmesini olası kılmaktadır. Bunu istismar edebilen herkes, sunucu işleminin uid'si ile tam kod çalıştırma haklarına sahip olacaktır. Sürüm 2.33.10, kabuk kullanılırken bir komuta izin verilip verilmediğine dair bir kontrol içermektedir.
Nasıl düzeltilir
- github.com/filebrowser/filebrowser/v22.33.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| filebrowser filebrowser | 2.32.0 | — |
| github.com/filebrowser/filebrowser/v2Go | v < 2.33.10 | 2.33.10 |
| github.com/filebrowser/filebrowserGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.