CVE-2026-116682
FileBrowser Quantum: Symlink following escapes user scope allowing arbitrary file read outside the served directory
CVSS 3.1High
8.6/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.5.2-stable, 2.0.1-beta, 0.0.0-20260814233832-4126edeb07a0
Обновитесь до версий FileBrowser Quantum 1.5.2-stable, 2.0.1-beta или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход каталога через символические ссылки в FileBrowser Quantum позволяет читать произвольные файлы за пределами разрешенного пользовательского корня.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версиях до 1.5.2-stable и 2.0.1-beta логика чтения файлов в backend/pkg/indexing/indexingFiles.go выполняет разрешение символических ссылок через GetRealPath без проверки нахождения конечной цели внутри исходного каталога. Механизмы скачивания, предпросмотра, медиа, OnlyOffice и публичных ссылок с флагом FollowSymlinks следуют за ссылкой за пределы каталога.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированное чтение (LFI) произвольных файлов ОС аутентифицированным пользователем или анонимным владельцем публичной ссылки.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
gtsteffaniakfilebrowser
все ранние➔Fix: 1.5.2-stable
gtsteffaniakfilebrowser
>= 2.0.0-beta➔Fix: 2.0.1-beta
——
>= 0➔Fix: 0.0.0-20260814233832-4126edeb07a0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/gtsteffaniak/filebrowser/security/advisories/GHSA-mgqf-5mf5-prfj
- github.comhttps://github.com/gtsteffaniak/filebrowser/pull/2795
- github.comhttps://github.com/gtsteffaniak/filebrowser/pull/2800
- github.comhttps://github.com/gtsteffaniak/filebrowser/commit/3c8c02414eefd3351ffe437fa39ff6eb150ffa67
- github.comhttps://github.com/gtsteffaniak/filebrowser/commit/4126edeb07a015c3809a89249b283e07a4e50c38
- github.comhttps://github.com/gtsteffaniak/filebrowser/releases/tag/v1.5.2-stable
- github.comhttps://github.com/gtsteffaniak/filebrowser/releases/tag/v2.0.1-beta
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-116682: FileBrowser Quantum: Symlink following escapes user scope allowing arbitrary file read outside the served directory. URL: https://cve.futuretools.ru/cve/CVE-2026-116682
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_116682,
title = {{CVE-2026-116682: FileBrowser Quantum: Symlink following escapes user scope allowing arbitrary file read outside the served directory}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-116682}},
note = {Оперативный инженерный анализ киберугроз}
}