Alist — это программа списка файлов, поддерживающая несколько хранилищ, работающая на базе Gin и Solidjs. До версии 3.57.0 приложение содержало уязвимость обхода пути в нескольких обработчиках файловых операций. Аутентифицированный злоумышленник может обойти авторизацию на уровне каталога, внедрив последовательности обхода в компоненты имени файла, что позволяет несанкционированное удаление, перемещение и копирование файлов за границы пользователя в пределах одного и того же хранилища.
Эта проблема исправлена в версии 3.57.0.
Показать оригинальное описание (EN)
Alist is a file list program that supports multiple storages, powered by Gin and Solidjs. Prior to version 3.57.0, the application contains path traversal vulnerability in multiple file operation handlers. An authenticated attacker can bypass directory-level authorisation by injecting traversal sequences into filename components, enabling unauthorised file removal, movement and copying across user boundaries within the same storage mount. This issue has been patched in version 3.57.0.
Характеристики атаки
Последствия
Строка CVSS v3.1