VULNERABILIDAD
CVE-2026-102663 Divulgación de metadatos y conteos en la búsqueda Bleve de OpenList
En OpenList, previo a 4.2.4, la API de búsqueda usa una comparación strings.HasPrefix que no distingue separadores como control de contención de rutas al autorizar resultados globales de Bleve contra el BasePath de un usuario restringido. Una ruta hermana como /base2 se trata como contenida en /base, lo que permite divulgar metadatos o existencia de archivos no autorizados y revelar coincidencias mediante el valor Total. Se corrige en la versión 4.2.4.
Alerta de Nureq Monitor
Detectada 12 OCT · 16:39
CVSS 3.1
4.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 11
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-102663
En OpenList, previo a 4.2.4, la API de búsqueda usa una comparación strings.HasPrefix que no distingue separadores como control de contención de rutas al autorizar resultados globales de Bleve contra el BasePath de un usuario restringido. Una ruta hermana como /base2 se trata como contenida en /base, lo que permite divulgar metadatos o existencia de archivos no autorizados y revelar coincidencias mediante el valor Total. Se corrige en la versión 4.2.4.
Productos y versiones afectadas
OpenListTeam OpenList
Qué hacer
- Verificá si usás OpenList y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
OpenList is a file list program that supports multiple storage backends. Prior to 4.2.4, the OpenList search API uses a non-separator-aware strings.HasPrefix comparison as a path containment authorization check when authorizing globally indexed Bleve results against a restricted user's BasePath. When Bleve search is enabled and a restricted authenticated user searches the global index for content in a sibling path, the user causes a globally indexed sibling-path result to pass the prefix check. The strings.HasPrefix(node.Parent, user.BasePath) predicate allows a sibling path such as /base2 to be treated as contained by /base. Unauthorized file metadata or file-existence information can be disclosed, and the backend Total value can reveal a match even when another access check removes the individual result. This issue is fixed in version 4.2.4.
Referencias
- github.com/OpenListTeam/OpenList/security/advisories/GHSA-p6ph-3jx2-3337X_REFSOURCE_CONFIRM
- github.com/OpenListTeam/OpenList/commit/59bd3431408578f420895457554700cc9a52375aX_REFSOURCE_MISC
- github.com/OpenListTeam/OpenList/commit/84ecda35aae2bd0020474086e6ddfd3aa2340679X_REFSOURCE_MISC
- github.com/OpenListTeam/OpenList/releases/tag/v4.2.4X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.