Уязвимость обхода пути в FusionDirectory до версии 1.5 позволяет удаленным злоумышленникам читать произвольные файлы на хосте, которые зака…

Уязвимость обхода пути в FusionDirectory до версии 1.5 позволяет удаленным злоумышленникам читать произвольные файлы на хосте, которые заканчиваются на .png (а также .svg или .xpm для некоторых конфигураций) через параметр icon запроса GET к geticon.php. Проблема была решена в Merge Request fusiondirectory/fd!1100, где была исправлена уязвимость безопасности пути [2]. Источники: - [1] https://gitlab.fusiondirectory.org/fusiondirectory/fd/-/blob/e9304844fb5c8ce4a9af9e26858af5e22e15b9bd/include/class_IconTheme.inc#L233-237 - [2] https://gitlab.fusiondirectory.org/fusiondirectory/fd/-/commit/9edefd0b367450d665a141c5e94db8a06d208556