CVE-2026-45721

Algernon, küçük ve bağımsız bir saf Go web sunucusudur. 1.17.7 sürümünden önce, Algernon'dan indeks dosyası bulunmayan bir dizine çözümlenen herhangi bir URL yolu istendiğinde, DirPage istek işleyicisi olarak yürütmek üzere handler.lua adlı bir dosya arayarak yapılandırılmış sunucu kök dizininin ötesinde üst dizinler boyunca yukarı doğru ilerler. Döngü yalnızca 100 ata adımından sonra veya filepath.Dir fonksiyonu . döndürdüğünde sona erer; bu nedenle, herhangi bir mutlak sunucu kök yolunda arama dosya sistemi köküne (/ Unix'te, sürücü harfi Windows'ta) ulaşır. Bulunan ilk handler.lua dosyası; run3(), httpclient, os.execute, io.popen, PQ, MSSQL, ham dosya sistemi erişimi ve userstate veritabanı dahil olmak üzere tüm Algernon API'si açık şekilde Lua yorumlayıcısına yüklenir. Sunucu kök dizininin herhangi bir üst dizinine handler.lua yazabilen herhangi bir işlem, bir sonraki HTTP isteğiyle kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma yetkisi elde eder. Bu durum kimlik doğrulaması olmadan erişilebilirdir; çünkü arama işlemi izin kontrolü sonuç vermeden önce gerçekleşir (izin sistemi yalnızca URL ön eklerini kısıtlar, işleyici çözümleme adımını değil) ve indeks dosyası olmayan bir dizini işaret eden herhangi bir URL bu taramayı tetikler. Yeni kurulmuş standart bir Algernon kurulumunda GET / isteği yeterlidir. Bu güvenlik açığı 1.17.7 sürümünde giderilmiştir.