Браузер файлов — это интерфейс управления файлами для загрузки, удаления, предварительного просмотра, переименования и редактирования файлов в указанном каталоге. Версии 2.61.2 и ниже уязвимы к обходу пути через ресурсPatchHandler (http/resource.go). Путь назначения в resourcesPatchHandler проверяется на соответствие правилам доступа перед очисткой/нормализацией, в то время как фактическая файловая операция после этого вызывает метод path.Clean(), преобразуя последовательности .. в другой эффективный путь.
Это позволяет аутентифицированному пользователю с разрешениями на создание или переименование обходить установленные администратором правила запрета (как на основе префиксов, так и на основе регулярных выражений), вводя последовательности .. в параметр назначения запроса PATCH. В результате пользователь может записывать или перемещать файлы по любому пути, защищенному запрещающими правилами, в пределах своей области действия. Однако это нельзя использовать для выхода из области действия BasePathFs пользователя или для чтения по ограниченным путям.
Эта проблема исправлена в версии 2.62.0.
Показать оригинальное описание (EN)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. Versions 2.61.2 and below are vulnerable to Path Traversal through the resourcePatchHandler (http/resource.go). The destination path in resourcePatchHandler is validated against access rules before being cleaned/normalized, while the actual file operation calls path.Clean() afterward—resolving .. sequences into a different effective path. This allows an authenticated user with Create or Rename permissions to bypass administrator-configured deny rules (both prefix-based and regex-based) by injecting .. sequences in the destination parameter of a PATCH request. As a result, the user can write or move files into any deny-rule-protected path within their scope. However, this cannot be used to escape the user's BasePathFs scope or read from restricted paths. This issue has been fixed in version 2.62.0.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Filebrowser Filebrowser
cpe:2.3:a:filebrowser:filebrowser:*:*:*:*:*:*:*:*
|
— |
2.62.0
|