Alist kwetsbaar voor Path Traversal in meerdere besturingshandlers in github.com/alist-org/alist

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot willekeurige bestanden op het systeem waarop alist draait. Dit omvat potentieel configuratiebestanden, broncode, en andere gevoelige data. Een aanvaller kan deze toegang gebruiken om de integriteit van het systeem te compromitteren, gevoelige informatie te stelen, of zelfs de controle over het systeem over te nemen. De impact is aanzienlijk, vooral in omgevingen waar alist wordt gebruikt om gevoelige data te delen of te hosten. Dit soort kwetsbaarheden kunnen vergelijkbare gevolgen hebben als die in andere file sharing applicaties, waarbij ongeautoriseerde toegang tot bestanden een ernstig risico vormt.

Organizations and individuals using alist for file sharing and storage are at risk, particularly those running older versions prior to 3.57.0. Shared hosting environments where multiple users share the same alist instance are especially vulnerable, as a compromise of one user's account could potentially lead to access to other users' data.

• linux / server:

find /opt/alist -name '*alist*' -type f -exec grep -i '../' {} + # Search for '..' in alist files

• generic web:

curl -I 'http://your-alist-instance/../../../../etc/passwd' # Attempt to access sensitive files

• linux / server:

journalctl -u alist -f | grep -i 'path traversal' # Monitor alist logs for path traversal attempts

1. 2026-02-05Disclosure

   disclosure

1. Gereserveerd2026-01-29
2. Gepubliceerd2026-02-05
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-25161 is het upgraden van alist naar versie 3.57.0 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van restricties op de toegankelijke paden binnen alist. Dit kan worden bereikt door de configuratie van alist aan te passen om te voorkomen dat gebruikers bestanden buiten de toegewezen directory benaderen. Het monitoren van alist logs op verdachte activiteit, zoals pogingen om bestanden buiten de verwachte paden te benaderen, kan ook helpen bij het detecteren en voorkomen van exploits. Na de upgrade, controleer de alist configuratie om te verzekeren dat de toegangsrechten correct zijn ingesteld.