Alist vulnérable à une traversée de chemin dans plusieurs gestionnaires d'opérations de fichiers dans github.com/alist-org/alist

L'exploitation réussie de cette vulnérabilité permet à un attaquant de lire des fichiers arbitraires sur le système de fichiers du serveur hébergeant alist. Cela inclut potentiellement des fichiers de configuration contenant des informations sensibles, des clés API, des mots de passe ou d'autres données confidentielles. L'attaquant pourrait également accéder à des fichiers appartenant à d'autres utilisateurs du système, en fonction des permissions configurées. Le risque est significatif car la faille se trouve dans des gestionnaires de fichiers, ce qui augmente la surface d'attaque. Une exploitation réussie pourrait mener à une compromission complète du serveur et à la divulgation de données sensibles.

Organizations and individuals using alist for file sharing and storage are at risk, particularly those running older versions prior to 3.57.0. Shared hosting environments where multiple users share the same alist instance are especially vulnerable, as a compromise of one user's account could potentially lead to access to other users' data.

• linux / server:

find /opt/alist -name '*alist*' -type f -exec grep -i '../' {} + # Search for '..' in alist files

• generic web:

curl -I 'http://your-alist-instance/../../../../etc/passwd' # Attempt to access sensitive files

• linux / server:

journalctl -u alist -f | grep -i 'path traversal' # Monitor alist logs for path traversal attempts

1. 2026-02-05Disclosure

   disclosure

1. Réservé2026-01-29
2. Publiée2026-02-05
3. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour alist vers la version 3.57.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de renforcer les restrictions d'accès aux fichiers et répertoires accessibles via alist. Cela peut inclure la configuration de règles de pare-feu pour limiter l'accès aux fichiers sensibles, ou l'utilisation d'un serveur proxy inverse pour filtrer les requêtes. Il est également conseillé de surveiller les journaux d'accès d'alist pour détecter toute tentative d'exploitation de cette vulnérabilité. Après la mise à jour, vérifiez l'intégrité des fichiers et assurez-vous que les permissions sont correctement configurées.