Браузер файлов — это интерфейс управления файлами для загрузки, удаления, предварительного просмотра, переименования и редактирования файлов в указанном каталоге. В версиях с 2.0.0 по 2.63.1 система перехватчиков в браузере файлов, которая выполняет определенные администратором команды оболочки для таких событий файла, как загрузка, переименование и удаление, уязвима для внедрения команд ОС. Замена переменных для таких значений, как $FILE и $USERNAME, выполняется через os.Expand без очистки.
Злоумышленник с разрешением на запись файла может создать вредоносное имя файла, содержащее метасимволы оболочки, заставляя сервер выполнять произвольные команды ОС при срабатывании перехватчика. Это приводит к удаленному выполнению кода (RCE). Эта функция отключена по умолчанию для всех установок, начиная с версии 2.33.8, включая существующие установки.
Показать оригинальное описание (EN)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. From 2.0.0 through 2.63.1, the hook system in File Browser — which executes administrator-defined shell commands on file events such as upload, rename, and delete — is vulnerable to OS command injection. Variable substitution for values like $FILE and $USERNAME is performed via os.Expand without sanitization. An attacker with file write permission can craft a malicious filename containing shell metacharacters, causing the server to execute arbitrary OS commands when the hook fires. This results in Remote Code Execution (RCE). This feature has been disabled by default for all installations from v2.33.8 onwards, including for existent installations.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Filebrowser Filebrowser
cpe:2.3:a:filebrowser:filebrowser:*:*:*:*:*:*:*:*
|
2.0.0
|
<= 2.63.1
|