CVE-2026-54088: File Browser: injeção de comando do sistema operacional na Hook Authentication

Visão geral

O File Browser é uma interface web de gerenciamento de arquivos para enviar, excluir, visualizar, renomear e editar arquivos dentro de um diretório configurado. Segundo o aviso de segurança do GitHub, seu recurso Hook Authentication permite que administradores delegem a verificação de login a um comando externo de shell, e as credenciais fornecidas pelo usuário são colocadas nessa string de comando sem sanitização. O aviso é rastreado como CVE-2026-54088 e classificado como injeção de comando do sistema operacional (CWE-78).

Impacto

O registro descreve um atacante remoto não autenticado que pode fazer com que comandos arbitrários do sistema operacional sejam executados no servidor antes de qualquer autenticação. Como a falha é acessível pela tela de login, o impacto potencial é o comprometimento total da confidencialidade, integridade e disponibilidade do host que executa o File Browser. A pontuação base CVSS v4.0 de 9.3, informada pela CNA, reflete alto impacto no sistema vulnerável.

Produtos e versões afetadas

Produto: File Browser (filebrowser/filebrowser)
Versões afetadas: a descrição indica que as versões anteriores à 2.63.6 são afetadas, quando o recurso Hook Authentication está em uso.
Versão corrigida: 2.63.6, conforme a descrição.

Os campos estruturados de afetados e correções do registro estão vazios, portanto o intervalo de versões acima vem apenas do texto da descrição.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. A pontuação EPSS não está disponível no registro.

Correção e mitigação

Atualize o File Browser para a versão 2.63.6 ou superior, conforme indica o aviso do fornecedor.
Se a atualização imediata não for possível, desative o recurso Hook Authentication caso ele não seja necessário, o que remove o caminho de código vulnerável segundo a descrição do funcionamento do recurso.
Restrinja o acesso de rede à interface de login do File Browser a origens confiáveis, reduzindo a exposição de uma falha pré-autenticação.
Revise se as instâncias do File Browser rodam com privilégios que limitem o alcance de um processo comprometido.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições de login com caracteres incomuns, ligados a shell, nos campos de usuário ou senha.
Monitore o host do File Browser em busca de processos filhos inesperados iniciados pela conta de serviço do File Browser.
Verifique alterações inesperadas em arquivos, contas ou tarefas agendadas em hosts onde o Hook Authentication estava habilitado antes da correção.

Limitações das informações disponíveis

O registro fornece uma descrição, uma pontuação CVSS 4.0 da CNA do GitHub e uma classificação CWE, mas não traz dados estruturados de versões afetadas ou corrigidas, entrada no KEV nem pontuação EPSS. A entrada da NVD não foi confirmada separadamente no registro para fins de pontuação. Detalhes do aviso do fornecedor além da descrição não estavam disponíveis, portanto as condições exatas de exploração e a lista completa de configurações vulneráveis são desconhecidas.

Perguntas frequentes

Qual é o problema central do CVE-2026-54088?

Segundo o registro, o recurso Hook Authentication do File Browser insere credenciais de login em um comando de shell sem sanitização, o que permite injeção de comando do sistema operacional antes da autenticação.

Qual versão corrige esta vulnerabilidade?

A descrição indica que a vulnerabilidade foi corrigida no File Browser 2.63.6, e as versões anteriores são afetadas.

Há exploração ativa conhecida desta vulnerabilidade?

Ela não consta no catálogo KEV da CISA neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.