CVE-2026-111936
Vulnérabilité moyenne dans Sigma File Manager (aleksey-hoffman)
CVSS 5.3 · Moyenne
aleksey-hoffman•Sigma File Manager•Versions : 0, <=2.2.0
Description
Sigma File Manager through 2.2.0 contains a server-side request forgery vulnerability because validate_remote_url() in security.rs never checks resolved IP addresses for extension download commands. A malicious extension or catalog entry can use hostnames resolving to loopback, private, or cloud metadata addresses to read internal responses via files written to the extension directory.
Gravité et risque d'exploitation
CVE-2026-111936 obtient un score CVSS de 5.3/10, soit une gravité moyenne.
Que faire ?
- Vérifiez si Sigma File Manager (versions 0, <=2.2.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/aleksey-hoffman/sigma-file-manager/issues/552
- https://github.com/aleksey-hoffman/sigma-file-manager/commit/45cedf892f800c6b140b0e3cd6e55fdbcf2cf479
- https://github.com/aleksey-hoffman/sigma-file-manager/blob/v2.2.0/src-tauri/src/extensions/security.rs
- https://github.com/aleksey-hoffman/sigma-file-manager/blob/v2.2.0/src-tauri/src/extensions/filesystem.rs
- https://www.vulncheck.com/advisories/sigma-file-manager-through-2.2.0-ssrf-via-extension-download-commands