CVE-2026-102663

OpenList, birden fazla depolama arka ucunu destekleyen bir dosya listeleme programıdır. 4.2.4 sürümünden önce OpenList arama API'si, küresel olarak indekslenmiş Bleve sonuçlarını kısıtlı bir kullanıcının BasePath'ine göre yetkilendirirken yol kapsama yetki kontrolü için ayırıcı farkındalığı olmayan bir strings.HasPrefix karşılaştırması kullanmaktadır. Bleve araması etkinleştirildiğinde ve kimliği doğrulanmış kısıtlı bir kullanıcı küresel indekste kardeş bir yoldaki içerikleri aradığında, kullanıcı küresel olarak indekslenmiş bir kardeş yol sonucunun ön ek kontrolünü geçmesine neden olur. strings.HasPrefix(node.Parent, user.BasePath) yüklemi, /base2 gibi bir kardeş yolun /base tarafından kapsanıyormuş gibi değerlendirilmesine izin verir. Yetkisiz dosya meta verileri veya dosya varlığı bilgileri ifşa edilebilir ve başka bir erişim kontrolü bireysel sonucu kaldırdığında bile arka uç Total değeri bir eşleşmeyi ortaya çıkarabilir. Bu sorun 4.2.4 sürümünde düzeltilmiştir.