Vulnerabilidad en OpenListTeam (CVE-2026-25059)

OpenList Frontend es un componente de UI para OpenList. Antes de la 4.1.10, la aplicación contiene una vulnerabilidad de salto de ruta en múltiples manejadores de operaciones de archivo en server/handles/fsmanage.go. Los componentes de nombre de archivo en req.Names se concatenan directamente con directorios validados usando stdpath.Join. Esto permite que las secuencias '..' evadan las restricciones de ruta, permitiendo a los usuarios acceder a los archivos de otros usuarios dentro del mismo montaje de almacenamiento y realizar acciones no autorizadas como la eliminación, el cambio de nombre o la copia de archivos. Un atacante autenticado puede evadir la autorización a nivel de directorio inyectando secuencias de salto de ruta en los componentes de nombre de archivo, permitiendo la eliminación y copia de archivos no autorizadas entre límites de usuario dentro del mismo montaje de almacenamiento. Esta vulnerabilidad está corregida en la 4.1.10.