CVE-2026-54088: File Browser: Inyección de comandos mediante sustitución de shell en el hook de autenticación (RCE pre-autenticación) | Kitploit

CVE-2026-54088

CríticoPublicado

File Browser: Inyección de comandos mediante sustitución de shell en el hook de autenticación (RCE pre-autenticación)

Publicado: 25 jun 2026
Actualizado: 25 jun 2026
Asignación de CNA: GitHub_M
Evidencia observada: 8 ago 2026

CVSS primario

9,3/ 10Crítico

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Estimación de probabilidad EPSS

0,8 %

Bajo · próximos 30 días

Percentil: 53,5 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

File Browser es una interfaz de gestión de archivos para cargar, eliminar, previsualizar, renombrar y editar archivos dentro de un directorio específico. Antes de la versión 2.63.6, la función Hook Authentication en File Browser permite a los administradores delegar la verificación de inicio de sesión a un comando shell externo. Las credenciales proporcionadas por el usuario (nombre de usuario y contraseña) se interpolan en esta cadena de comando utilizando os.Expand sin sanitización. Un atacante remoto no autenticado puede inyectar metacaracteres de shell en el campo de nombre de usuario o contraseña en la pantalla de inicio de sesión, lo que provoca que el servidor ejecute comandos arbitrarios del sistema operativo antes de que se realice cualquier autenticación. Esta es una RCE crítica previa a la autenticación. Esta vulnerabilidad se corrige en la versión 2.63.6.

Fuentes

CVE-2026-54088-pocPoC
Exploit de prueba de concepto para CVE-2026-54088, una inyección de comandos del sistema operativo previa a la autenticación en File Browser <=2.63.5. Demuestra la inyección de shell a través de Hook Authentication para lograr la ejecución remota de código.

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.