Kritische Sicherheitslücke in Alist - CVE-2026-25160

Zusammenfassung

Vor Version 3.57.0 des Dateimanagers Alist wurde die SSL/TLS-Zertifikatsprüfung standardmäßig deaktiviert, was das System anfällig für Man-in-the-Middle-Angriffe machte. Dadurch konnten Angreifer sämtliche Daten während der Dateiübertragungen entschlüsseln, stehlen oder manipulieren, was die Vertraulichkeit und Integrität der Nutzerdaten massiv gefährdete. Die Schwachstelle mit der CVE-ID CVE-2026-25160 wurde in Version 3.57.0 behoben.

Alist is a file list program that supports multiple storages, powered by Gin and Solidjs. Prior to version 3.57.0, the application disables TLS certificate verification by default for all outgoing storage driver communications, making the system vulnerable to Man-in-the-Middle (MitM) attacks. This enables the complete decryption, theft, and manipulation of all data transmitted during storage operations, severely compromising the confidentiality and integrity of user data. This issue has been patched in version 3.57.0.