PT-2026-38413 · Unknown · Filebrowser Quantum

Yesuhei · Publicado 2026-05-01 · Atualizado 2026-06-17 · CVE-2026-44542

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas FileBrowser Quantum versões anteriores a 1.3.1-stable FileBrowser Quantum versões anteriores a 1.3.9-beta

Descrição A entrada de caminho controlada por um invasor é juntada a um caminho base confiável antes da sanitização, permitindo o uso de sequências de travessia, como ../, para escapar do diretório compartilhado pretendido. Um invasor não autenticado com um hash de compartilhamento público válido e permissões de exclusão pode excluir arquivos arbitrários fora do diretório compartilhado dentro do escopo de armazenamento do proprietário do compartilhamento. Este problema afeta os endpoints 'public/api/resources' e 'public/api/resources/bulk', especificamente envolvendo o parâmetro path.

Recomendações Atualize para a versão 1.3.1-stable. Atualize para a versão 1.3.9-beta.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-07993

CVE-2026-44542

GHSA-FWJ3-42WH-8673

Produtos afetados

Filebrowser Quantum

Referências · 8

• 🔥 https://github.com/gtsteffaniak/filebrowser/security/advisories/GHSA-fwj3-42wh-8673 · Exploit
• https://github.com/gtsteffaniak/filebrowser · Nota
• https://github.com/gtsteffaniak/filebrowser/commit/112740bdd41de7d5eb01e13ba49d406bfc463f69 · Nota
• https://twitter.com/CCBalert/status/2067250475905249775 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-07993 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-fwj3-42wh-8673 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1t691c5/resumen_diario_de_vulnerabilidades_07052026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-44542 · Nota de Segurança