Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-59

CVE-2026-116682

FileBrowser Quantum: Sembolik bağlantı takibi nedeniyle kapsam dışı dosya okuma

gtsteffaniak filebrowser

Yüksek 8,6 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, yetkisiz kişilerin şirketinizin sunucusundaki kapsam dışı dosyalara ulaşmasına olanak tanıyabilir ve bu dosyalar gizli iş bilgilerini veya kişisel verileri içerebilir. Saldırı kolaydır ve bazı durumlarda hesap gerektirmez, bu nedenle güncellemenin öncelikli olarak yapılması önerilir.

ÖzetTürkçe

FileBrowser Quantum'da dosya okuma işlemleri, sembolik bağlantıların (symlink) hedefini kullanıcının yetki kapsamı ve kaynak dizin içinde olup olmadığını doğrulamadan çözümlüyor. FollowSymlinks özelliği etkin olduğunda indirme, önizleme, medya, OnlyOffice ve genel paylaşım akışları, erişilebilen kapsam içi bir sembolik bağlantı üzerinden kapsam dışındaki hedefleri sunabiliyor. 1.5.2-stable ve 2.0.1-beta öncesi sürümler etkilenir.

Saldırgan ne yapabilir?

Kimliği doğrulanmış ve indirme yetkisi olan bir kullanıcı, kendisine tanımlanmamış sunucu dosyalarını okuyabilir. Dizinde böyle bir sembolik bağlantı varsa, genel paylaşım bağlantısına sahip herhangi biri hesap olmadan aynı dosyalara erişebilir.

Kaynaktaki açıklama (İngilizce)

FileBrowser Quantum is a free, self-hosted, web-based file manager. Prior to 1.5.2-stable and 2.0.1-beta, file read handling in backend/pkg/indexing/indexingFiles.go resolves symbolic links through GetRealPath without confirming that the resolved target remains inside the source root and the user's authorized scope. Download, preview, media, OnlyOffice, and public-share read flows that enable FollowSymlinks can therefore serve an out-of-scope target through a reachable in-scope symlink. An authenticated user with download access can read server-accessible files outside the assigned scope, and a holder of a public share link can do the same without an account when the shared directory exposes such a symlink. This issue is fixed in 1.5.2-stable and 2.0.1-beta.

Ne yapmalı?

  1. FileBrowser Quantum'u 1.5.2-stable veya 2.0.1-beta sürümüne güncelleyin. Üretici
  2. FollowSymlinks ayarını gerekmedikçe devre dışı bırakın. Genel öneri
  3. Sunucuda paylaşılan dizinlerdeki sembolik bağlantıları tarayın ve hedefi kapsam dışında kalan bağlantıları kaldırın. Genel öneri
  4. Güncellemeden önce, etkin genel paylaşım bağlantılarını gözden geçirip gereksiz olanları iptal edin. Genel öneri

Ek önlemler

  • İndirme yetkisini yalnızca gerçekten ihtiyaç duyulan kullanıcılara verin. Genel öneri
  • Genel paylaşım bağlantılarının kapsamını ve süresini düzenli olarak denetleyin. Genel öneri
  • Erişim günlüklerini, beklenmeyen dosya okuma isteklerine karşı izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
gtsteffaniak filebrowser < 1.5.2-stable 1.5.2-stable

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.