CVE-2025-52903

{"id": "CVE-2025-52903", "cveTags": [], "metrics": {"cvssMetricV31": [{"type": "Secondary", "source": "security-advisories@github.com", "cvssData": {"scope": "CHANGED", "version": "3.1", "baseScore": 8.0, "attackVector": "NETWORK", "baseSeverity": "HIGH", "vectorString": "CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H", "integrityImpact": "HIGH", "userInteraction": "NONE", "attackComplexity": "HIGH", "availabilityImpact": "HIGH", "privilegesRequired": "HIGH", "confidentialityImpact": "HIGH"}, "impactScore": 6.0, "exploitabilityScore": 1.3}]}, "published": "2025-06-26T19:15:21.587", "references": [{"url": "https://github.com/GoogleContainerTools/distroless", "tags": ["Product"], "source": "security-advisories@github.com"}, {"url": "https://github.com/filebrowser/filebrowser/commit/4d830f707fc4314741fd431e70c2ce50cd5a3108", "source": "security-advisories@github.com"}, {"url": "https://github.com/filebrowser/filebrowser/issues/5199", "tags": ["Issue Tracking"], "source": "security-advisories@github.com"}, {"url": "https://github.com/filebrowser/filebrowser/security/advisories/GHSA-3q2w-42mv-cph4", "tags": ["Exploit", "Mitigation", "Vendor Advisory"], "source": "security-advisories@github.com"}, {"url": "https://github.com/sbaresearch/advisories/tree/public/2025/SBA-ADV-20250326-02_Filebrowser_Shell_Commands_Can_Spawn_Other_Commands", "source": "security-advisories@github.com"}, {"url": "https://manpages.debian.org/bookworm/util-linux/prlimit.1.en.html", "tags": ["Technical Description"], "source": "security-advisories@github.com"}, {"url": "https://pkg.go.dev/vuln/GO-2025-3786", "source": "security-advisories@github.com"}, {"url": "https://github.com/filebrowser/filebrowser/security/advisories/GHSA-3q2w-42mv-cph4", "tags": ["Exploit", "Mitigation", "Vendor Advisory"], "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"}], "vulnStatus": "Modified", "weaknesses": [{"type": "Secondary", "source": "security-advisories@github.com", "description": [{"lang": "en", "value": "CWE-77"}]}], "descriptions": [{"lang": "en", "value": "File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. In versions on the 2.x branch prior to 2.33.10, the Command Execution feature of File Browser only allows the execution of shell command which have been predefined on a user-specific allowlist. Many tools allow the execution of arbitrary different commands, rendering this limitation void. The concrete impact depends on the commands being granted to the attacker, but the large number of standard commands allowing the execution of subcommands makes it likely that every user having the `Execute commands` permissions can exploit this vulnerability. Everyone who can exploit it will have full code execution rights with the uid of the server process. Version 2.33.10 contains a check for whether a command is allowed when using shell."}, {"lang": "es", "value": "File Browser proporciona una interfaz de gesti\u00f3n de archivos dentro de un directorio espec\u00edfico y permite cargar, eliminar, previsualizar, renombrar y editar archivos. En la versi\u00f3n 2.32.0, la funci\u00f3n de Ejecuci\u00f3n de Comandos del Explorador de Archivos solo permite la ejecuci\u00f3n de comandos de shell predefinidos en una lista de permitidos espec\u00edfica del usuario. Muchas herramientas permiten la ejecuci\u00f3n de comandos arbitrarios, lo que invalida esta limitaci\u00f3n. El impacto concreto depende de los comandos otorgados al atacante, pero la gran cantidad de comandos est\u00e1ndar que permiten la ejecuci\u00f3n de subcomandos hace probable que cualquier usuario con permisos de \"Ejecutar comandos\" pueda explotar esta vulnerabilidad. Cualquiera que pueda explotarla tendr\u00e1 plenos derechos de ejecuci\u00f3n de c\u00f3digo con el uid del proceso del servidor. Hasta que se solucione este problema, los mantenedores recomiendan deshabilitar completamente la funci\u00f3n de \"Ejecutar comandos\" para todas las cuentas. Dado que la ejecuci\u00f3n de comandos es una funci\u00f3n inherentemente peligrosa que no se utiliza en todas las implementaciones, deber\u00eda ser posible deshabilitarla por completo en la configuraci\u00f3n de la aplicaci\u00f3n. Como medida de defensa a fondo, las organizaciones que no requieran la ejecuci\u00f3n de comandos deber\u00edan operar el Explorador de archivos desde una imagen de contenedor sin distribuci\u00f3n. Se ha publicado una versi\u00f3n de parche para deshabilitar la funci\u00f3n en todas las instalaciones existentes y habilitarla. Se ha a\u00f1adido una advertencia a la documentaci\u00f3n, que se muestra en la consola si la funci\u00f3n est\u00e1 habilitada. Debido a que el proyecto se encuentra en modo de mantenimiento, el error no se ha corregido. La correcci\u00f3n se encuentra en la solicitud de incorporaci\u00f3n de cambios 5199."}], "lastModified": "2026-06-09T13:16:35.390", "configurations": [{"nodes": [{"negate": false, "cpeMatch": [{"criteria": "cpe:2.3:a:filebrowser:filebrowser:2.32.0:*:*:*:*:*:*:*", "vulnerable": true, "matchCriteriaId": "7F651779-4EE2-41BE-951F-6DD8B0771830"}], "operator": "OR"}]}], "sourceIdentifier": "security-advisories@github.com"}