CVE-2026-54088
Publiée le 2026-06-25 · Dernière modification le 2026-06-25
Les versions de File Browser antérieures à la 2.63.6 sont concernées si vous utilisez la fonctionnalité Hook Authentication pour déléguer les connexions à une commande shell externe. Un attaquant distant non authentifié peut exécuter des commandes arbitraires du système d'exploitation sur votre serveur en saisissant des caractères spécialement conçus dans les champs nom d'utilisateur ou mot de passe de l'écran de connexion. Cette attaque est facile à réaliser car elle ne nécessite aucun accès préalable, aucune interaction de l'utilisateur et seulement une connectivité réseau basique à la page de connexion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. Prior to 2.63.6, the Hook Authentication feature in File Browser allows administrators to delegate login verification to an external shell command. User-supplied credentials (username and password) are interpolated into this command string using os.Expand without sanitization. An unauthenticated remote attacker can inject shell metacharacters in the username or password field at the login screen, causing the server to execute arbitrary OS commands before any authentication takes place. This is a critical pre-authentication RCE. This vulnerability is fixed in 2.63.6.