CVE-2026-54089
Açıklama
File Browser; belirtilen bir dizin içindeki dosyaları yüklemek, silmek, önizlemek, yeniden adlandırmak ve düzenlemek için kullanılan bir dosya yönetim arayüzüdür. 2.0.0-rc.1 sürümünden itibaren, File Browser proxy kimlik doğrulamasıyla (auth.method=proxy) yapılandırıldığında, sunucuya doğrudan erişebilen herhangi bir kimlik doğrulanmamış saldırgan, tek bir sahte HTTP başlığı göndererek yönetici dahil herhangi bir kullanıcının kimliğine bürünebilir. Herhangi bir kimlik bilgisi gerekmemektedir. Ek olarak, mevcut olmayan bir kullanıcı adı belirtilmesi, sunucunun otomatik olarak yeni bir kullanıcı hesabı oluşturmasına neden olur ve bu da yetkilendirme gerektirmeyen bir hesap oluşturma imkanı sağlar. Bu durum, yıllardır belgelerde yer alan ancak daha önce bir güvenlik açığı olarak belgelenmemiş olan bilinen bir sorundur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/filebrowser/filebrowser/v2Go | 2.0.0-rc.1 ≤ v ≤ 2.63.18, 2.0.0-rc.1 ≤ v | — |
| github.com/filebrowser/filebrowserGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.