KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-26960 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
ElFinder是一套基于Drupal平台的、开源的AJAX文件管理器。该产品提供多文件上传、图像缩放等功能。
ElFinder 2.1.60及之前版本存在路径遍历漏洞，该漏洞源于程序未对绝对文件路径进行正确处理。未经身份验证的远程攻击者可利用该漏洞在配置文件根目录之外对文件进行读取、写入和浏览。
受影响系统：
elFinder elFinder <= 2.1.60
影响范围
应用：std42 elfinder（影响面 Up to (including) 2.1.60）
解决方案
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
https://github.com/Studio-42/elFinder/releases/tag/2.1.61-src
参考信息
https://cxsecurity.com/cveshow/CVE-2022-26960/
https://github.com/Studio-42/elFinder/commit/3b758495538a448ac8830ee3559e7fb2c260c6db
https://www.synacktiv.com/publications.html
https://www.synacktiv.com/publications/elfinder-the-story-of-a-repwning.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。