CVE-2026-66493

文件操作中的路径遍历（删除 / 复制 / 移动） PhocaCommander ≤ 6.1.3 — 已认证管理员可在 Web 根目录之外操作文件 摘要 PhocaCommander 的文件操作处理器从攻击者可控的 base64 编码参数（pathfrom、pathwhere）构造源路径和目标路径，且未进行任何路径包含验证。已认证的管理员可以删除、复制和移动 Web 服务器进程可访问的文件系统中的任意文件。 已在实验室中确认：可以删除 /tmp/（Web 根目录之外）中的文件，并将 /etc/passwd 复制到 PhocaCommander...