CVE-2026-34528
Açıklama
File Browser; belirli bir dizin içindeki dosyaları yüklemek, silmek, önizlemek, yeniden adlandırmak ve düzenlemek için kullanılan bir dosya yönetim arayüzüdür. Versiyon 2.62.2 öncesinde, File Browser'daki signupHandler varsayılan kullanıcı izinlerini d.settings.Defaults.Apply(user) aracılığıyla uygular ve ardından yalnızca Admin yetkisini kaldırır. Varsayılan kullanıcı şablonundaki Execute izni ve Commands listesi kaldırılmaz. Bir yönetici kayıt işlemini, sunucu tarafı yürütmeyi etkinleştirdiğinde ve varsayılan kullanıcı şablonunda Execute=true olarak ayarladığında, kendi kendine kayıt olan herhangi bir kimliği doğrulanmamış kullanıcı kabuk yürütme yeteneklerini devralır ve sunucuda rastgele komutlar çalıştırabilir. Bu sorun versiyon 2.62.2 ile düzeltilmiştir.
Nasıl düzeltilir
- filebrowser filebrowser2.62.2 ya da sonraki bir sürüm
- github.com/filebrowser/filebrowser/v22.62.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| filebrowser filebrowser | v < 2.62.2 | 2.62.2 |
| github.com/filebrowser/filebrowser/v2Go | v < 2.62.2 | 2.62.2 |
| github.com/filebrowser/filebrowserGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.