CVE-2026-35585

File Browser; belirtilen bir dizin içindeki dosyaları yüklemek, silmek, önizlemek, yeniden adlandırmak ve düzenlemek için kullanılan bir dosya yönetim arayüzüdür. 2.0.0 ile 2.33.8 sürümleri arasında, File Browser'daki —yükleme, yeniden adlandırma ve silme gibi dosya olaylarında yönetici tarafından tanımlanan kabuk komutlarını çalıştıran— kanca (hook) sistemi, OS komut enjeksiyonuna karşı savunmasızdır. $FILE ve $USERNAME gibi değerler için değişken değiştirme işlemi, herhangi bir temizleme yapılmadan os.Expand aracılığıyla gerçekleştirilmektedir. Dosya yazma iznine sahip bir saldırgan, kabuk meta karakterleri içeren kötü amaçlı bir dosya adı oluşturarak, kanca tetiklendiğinde sunucunun rastgele OS komutları yürütmesine neden olabilir. Bu durum Uzaktan Kod Çalıştırma (RCE) ile sonuçlanır. Bu özellik, mevcut kurulumlar da dahil olmak üzere v2.33.8 sürümünden itibaren tüm kurulumlar için varsayılan olarak devre dışı bırakılmıştır.