File Browser 치명 취약점 공개…사전 인증 RCE·인증 우회 위험

GitHub Advisory Database에 따르면 오픈소스 파일 관리 도구 File Browser에서 치명 등급의 취약점 두 건이 공개됐다. 핵심은 후크 기반 인증 설정에서 사전 인증 원격 코드 실행으로 이어질 수 있는 CVE-2026-54088과, 프록시 인증 헤더 처리에서 인증 우회가 가능한 CVE-2026-54089다.

File Browser는 지정한 디렉터리에 웹 기반 파일 관리 인터페이스를 제공하는 오픈소스 프로젝트다. 서버 파일을 업로드, 삭제, 미리보기, 편집할 수 있어 개인 서버나 내부 도구 환경에서 쓰인다. 이 때문에 인증 경로의 취약점은 단순한 계정 탈취를 넘어 서버 파일과 실행 환경 전체에 영향을 줄 수 있다.

가장 위험도가 높은 CVE-2026-54088은 후크 인증 기능에서 발생한다. GitHub 권고에 따르면 관리자가 외부 셸 명령으로 로그인 검증을 위임하도록 설정한 경우, 사용자 이름이나 비밀번호에 들어간 입력값이 적절한 이스케이프 없이 명령 문자열에 대입될 수 있다. 권고는 이 취약점을 인증 전 원격 코드 실행으로 설명하며, CVSS v4.0 기준 9.3점의 치명 등급으로 평가했다.

영향을 받는 버전은 File Browser 2.63.5 이하이며, 패치 버전은 2.63.6으로 표시됐다. 공격자가 유효한 계정 없이 로그인 요청 단계에서 악의적인 입력을 보낼 수 있다는 점이 위험도를 높인다. 다만 이 취약점은 후크 인증 기능과 관련된 설정 조건에서 문제가 된다.

함께 공개된 CVE-2026-54089는 프록시 인증 헤더 위조를 통한 인증 우회 취약점이다. GitHub 권고는 해당 취약점도 File Browser의 인증 처리 경로와 관련된 문제로 분류했다. 파일 관리 인터페이스가 인터넷에 노출돼 있거나 리버스 프록시 뒤에서 운영되는 환경이라면, 운영자는 프록시 신뢰 경계와 헤더 전달 설정을 함께 점검할 필요가 있다.

File Browser 프로젝트의 최신 릴리스 목록에는 7월 4일 공개된 2.63.18 버전이 확인된다. 운영자는 최소 패치 버전 이상으로 업데이트하고, 후크 인증 사용 여부와 프록시 인증 구성, 외부 노출 범위를 점검해야 한다. 특히 파일 관리 도구는 서버 내부 자료와 환경 변수에 접근할 수 있는 경우가 많아, 보안 권고를 단순 라이브러리 업데이트 이슈로만 볼 수 없다.

이번 권고는 유지보수 단계에 있는 오픈소스 관리 도구에서도 인증 경로와 배포 설정이 핵심 공격면이 될 수 있음을 보여준다. 공개 서버에 배치된 파일 관리 인터페이스는 편의성이 큰 만큼, 버전 관리와 접근 제한, 프록시 헤더 검증, 관리자 기능 비활성화 같은 기본 통제가 함께 적용돼야 한다.

출처: GitHub Advisory Database https://github.com/advisories/GHSA-m93h-4hw7-5qcm · GitHub Advisory Database https://github.com/advisories/GHSA-xqp3-jq6g-x3qm · File Browser GitHub https://github.com/filebrowser/filebrowser/releases/tag/v2.63.18