Alist vulnerável a Path Traversal em múltiplos manipuladores de operações de arquivo em github.com/alist-org/alist

A exploração bem-sucedida do CVE-2026-25161 pode permitir que um atacante obtenha acesso não autorizado a arquivos confidenciais armazenados no servidor alist. Isso pode incluir informações pessoais, dados de configuração, chaves de API ou outros dados sensíveis. Dependendo da configuração do sistema, um atacante pode até conseguir executar código arbitrário no servidor, comprometendo a integridade e a confidencialidade do sistema. A vulnerabilidade reside em múltiplos manipuladores de arquivos, ampliando a superfície de ataque e tornando a exploração mais fácil. A falta de validação adequada dos caminhos de arquivo permite que um atacante utilize sequências como '..' para navegar para fora do diretório raiz e acessar arquivos em locais inesperados.

Organizations and individuals using alist for file sharing and storage are at risk, particularly those running older versions prior to 3.57.0. Shared hosting environments where multiple users share the same alist instance are especially vulnerable, as a compromise of one user's account could potentially lead to access to other users' data.

• linux / server:

find /opt/alist -name '*alist*' -type f -exec grep -i '../' {} + # Search for '..' in alist files

• generic web:

curl -I 'http://your-alist-instance/../../../../etc/passwd' # Attempt to access sensitive files

• linux / server:

journalctl -u alist -f | grep -i 'path traversal' # Monitor alist logs for path traversal attempts

1. 2026-02-05Disclosure

   disclosure

1. Reservado2026-01-29
2. Publicada2026-02-05
3. EPSS atualizado2026-03-23

A mitigação primária para o CVE-2026-25161 é a atualização para a versão 3.57.0 do alist, que corrige a vulnerabilidade de Path Traversal. Se a atualização imediata não for possível, considere implementar regras de Web Application Firewall (WAF) para bloquear solicitações que contenham sequências de Path Traversal (por exemplo, '..'). Além disso, revise as permissões de arquivo e diretório para garantir que o alist tenha apenas acesso aos recursos necessários. Monitore os logs do alist em busca de tentativas de acesso a arquivos fora do diretório esperado. Implementar uma política de segurança de conteúdo (CSP) pode ajudar a mitigar o impacto de uma possível exploração, restringindo as fontes de conteúdo que o navegador pode carregar.