CVE-2026-118485

Axel Download Accelerator 2.17.14 ve önceki sürümleri, URL ayrıştırıldıktan ve dosya adı bileşeni çıkarıldıktan sonra çıktı dosya adı üzerinde URL yüzde-kod çözme (http_decode()) işlemi gerçekleştirir. Bu durum, bir saldırganın URL yoluna %2e%2e%2f (URL-kodlanmış ../) dizileri yerleştirmesine olanak tanır. Bu diziler, URL ayrıştırıcısından bozulmadan geçer (literal / karakterleri içermezler) ancak çıktı dosyası yazma işlemi için açılmadan önce dizin gezginliği (directory traversal) dizilerine dönüştürülür. Sonuç olarak, özel olarak hazırlanmış bir URL, axel'in indirilen içeriği mevcut çalışma dizinine göre rastgele dosya sistemi yollarına yazmasına neden olabilir.