FileBrowser Quantum: Symlink-Verfolgung umgeht Benutzerbereich und ermöglicht Dateizugriff

Zusammenfassung

FileBrowser Quantum, ein selbst gehosteter Web-Dateimanager, löst auf Lesepfaden symbolische Links auf, ohne zu prüfen, ob das Ziel innerhalb des Quellverzeichnisses und des berechtigten Bereichs des Benutzers liegt. Ein authentifizierter Benutzer mit Download-Berechtigung oder eine Person mit einem öffentlichen Freigabelink, der ein solcher Symlink offenliegt, kann Dateien auf dem Server lesen, die ausserhalb ihres Bereichs liegen. Das Problem betrifft nur Instanzen, bei denen FollowSymlinks aktiviert ist und erreichbare Symlinks vorhanden sind; der CVSS-Wert von 8.6 stammt aus dem CNA-Datensatz, und die Analyse durch NVD war zum Zeitpunkt der Erstellung noch ausstehend.

Betroffen

• FileBrowser Quantum vor 1.5.2-stable
• FileBrowser Quantum 2.0.0-beta (2.0.0-beta bis vor 2.0.1-beta)

Behoben in

• 1.5.2-stable
• 2.0.1-beta
• Neuere stabile Versionen (empfohlen wird die neueste stabile 1.5.x- oder 2.0.x-Version; aktuelle Version auf der Release-Seite prüfen)

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden.
• FollowSymlinks deaktivieren, wo es nicht benötigt wird.
• Symlinks in geteilten Verzeichnissen, die ausserhalb des Stammverzeichnisses zeigen, entfernen und keine Host-Verzeichnisse mit Symlinks per Bind-Mount einbinden.
• Öffentliche Freigaben bis zur Behebung deaktivieren.

Ausnutzung

• Unbekannt, ob die Lücke in freier Wildbahn ausgenutzt wird; es wurden keine Hinweise gefunden.
• Der Hersteller-Advisory meldet eine bestätigte Reproduktion in einer Laborumgebung auf Version 1.3.3-stable; der Status eines öffentlichen PoC wird in den Quellen uneinheitlich angegeben.
• Zum Zeitpunkt der Erstellung nicht im CISA KEV-Katalog gelistet.
• EPSS: 0.54 % (45. Perzentil).

Unsere Empfehlung

• Alle FileBrowser-Instanzen inventarisieren, einschliesslich allfälliger Installationen des ursprünglichen FileBrowser-Projekts, und deren Versionen erfassen.
• Quantum-Instanzen auf die neueste stabile 1.5.x- oder 2.0.x-Version aktualisieren und die Behebung in den Release-Notes bestätigen.
• Bis zur Aktualisierung öffentliche Freigaben deaktivieren, die FollowSymlinks-Einstellungen prüfen und geteilte Verzeichnisse nach Symlinks durchsuchen, die ausserhalb des Stammverzeichnisses zeigen.
• Zugriffsprotokolle auf Anfragen über öffentliche Freigaben und auf ungewöhnliche Downloads prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mgqf-5mf5-prfj github.com
• Fix commit 3c8c024 (v2.0.1, PR #2800) github.com
• Fix commit 4126ede (v1.5.2, PR #2795) github.com
• Release v1.5.2-stable github.com
• Release v2.0.1-beta github.com
• OSV GHSA-mgqf-5mf5-prfj osv.dev
• Go advisory CVE-2026-116682 (GitLab) advisories.gitlab.com
• The Hacker Wire CVE-2026-116682 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:00.