注目★★★★★GitHub Advisory
File Browser、認証前に任意コマンド実行可能な脆弱性（CVSS 9.0）
30秒で把握
- 1File Browser の Hook Authentication で shell メタ文字注入により認証前 RCE、CVSS 9.0
- 2ログイン画面のユーザー名・パスワード欄からサーバー上の任意コマンド実行が可能
- 3本番環境運用チームは直ちに更新版確認と隔離判断、ファイアウォール制限の即時実施
要約
File Browser の Hook Authentication 機能に認証前リモートコマンド実行（RCE）脆弱性が存在する。ユーザー名またはパスワード入力欄に shell メタ文字を注入することで、認証を経由せずにサーバーは任意の OS コマンドを実行させられる。ファイル参照・修正・削除の完全な権限を奪取され、本番サーバーが直接危機にさらされる。CVSS v4.0 で 9.0 の重大度と評価されている。
あなたへの影響
File Browser を業務利用する場合は直ちに最新版への更新が必須。
推奨：クラウド環境で本脆弱性が悪用されると、サーバー上の全データと認証情報が露出し、侵害後の復旧に数日を要する可能性があるため、今日中のセキュリティスキャンと隔離判断を推奨する。