CVE-2026-54088

总结

文件浏览器（File Browser）是一个文件管理界面，用于在指定目录内上传、删除、预览、重命名和编辑文件。在 2.63.6 之前，File Browser 中的 Hook 认证（Hook Authentication）功能允许管理员将登录验证委派给外部 shell 命令。用户提供的凭据（用户名和密码）通过 os.Expand 被插入到该命令字符串中，且未进行净化处理。未认证的远程攻击者可以在登录界面的用户名或密码字段中注入 shell 元字符，导致服务器在任何认证发生之前执行任意操作系统命令。这是一个严重的预认证 RCE 漏洞。该漏洞已在 2.63.6 版本中修复。

• CVE-2026-54088-pocPoC

  CVE-2026-54088 的概念验证漏洞利用程序，该漏洞是 File Browser <=2.63.5 中存在的预认证操作系统命令注入漏洞。演示了通过 Hook 认证进行 shell 注入，以实现远程代码执行。