🟠 CVE-2026-54910: High Schwachstelle

„`html

Zusammenfassung

FileBrowser Quantum vor Version 1.4.3-beta weist zwei kritische Path-Traversal-Schwachstellen im Endpoint GET /api/media/subtitles auf. Authentifizierte Benutzer können durch unsanitierte Query-Parameter auf beliebige Textdateien des Host-Systems zugreifen, einschließlich sensibler Konfigurationsdateien und Credentials.

Betroffene Systeme

FileBrowser Quantum in allen Versionen vor 1.4.3-beta. Die Schwachstelle betrifft alle Installationen mit aktivierter Web-API und authentifizierten Benutzern.

Technische Details

Der subtitlesHandler-Endpoint verarbeitet zwei unsanitierte Query-Parameter:

• path-Parameter (primärer Vektor): Wird direkt an idx.GetRealPath() übergeben, ohne vorherige Sanitierung durch SanitizeUserPath(). Dies ermöglicht es, das Storage-Root-Verzeichnis zu verlassen und parentDir auf beliebige Verzeichnisse zu setzen. Keine Anchor-Datei erforderlich.
• name-Parameter (sekundärer Vektor): Wird mittels filepath.Join(parentDir, name) verknüpft, ohne Directory-Komponenten zu entfernen. Dies erlaubt Traversal relativ zu jedem aufgelösten parentDir.

Eine typische Exploit-Anfrage könnte lauten: GET /api/media/subtitles?path=../../&name=../etc/passwd

Empfohlene Massnahmen

• Sofortmaßnahmen: FileBrowser Quantum auf Version 1.4.3-beta oder höher aktualisieren
• Interim-Maßnahmen: Zugriff auf den /api/media/subtitles-Endpoint durch Firewall-Regeln oder Reverse-Proxy-Filter beschränken
• Monitoring: Logs auf verdächtige Anfragen mit ../ oder absoluten Pfaden überwachen
• Berechtigung: Ausführungsprivilegien des FileBrowser-Prozesses minimieren
• Rotation: SSH-Keys, Datenbank-Credentials und JWT-Signing-Keys rotieren, falls Exposure wahrscheinlich ist

Bewertung

CVSS 7.7 (High) | Authentifizierung erforderlich, aber keine Einschränkung auf User-Rolle. Potentieller Zugriff auf kritische Systemdateien mit hohem Informationswert. Geschäftsauswirkung abhängig von Datenklassifizierung und Systemposition im Netzwerk.

„`