در نسخه‌ی 2.17.14 و نسخه‌های قدیمی‌تر نرم‌افزار Axel Download Accelerator، یک آسیب‌پذیری امنیتی شناسایی شده است که به دلیل نحوه مدیریت نام فایل‌های خروجی رخ می‌دهد. این نقص امنیتی با شناسه CVE-2026-118485 ثبت شده است.
جزئیات فنی آسیب‌پذیری
مشکل اصلی در این است که نرم‌افزار Axel، عملیات رمزگشایی درصدها (URL percent-decoding) یا همان تابع http_decode() را پس از تجزیه و تحلیل URL و استخراج نام فایل انجام می‌دهد. این ترتیب اشتباه در پردازش، به مهاجم اجازه می‌دهد تا توالی‌های %2e%2e%2f (که در واقع همان ../ رمزگذاری شده است) را در مسیر URL قرار دهد.
- دور زدن Parser: از آنجایی که این توالی‌ها در ابتدا شامل کاراکتر واقعی
/نیستند، توسط URL Parser شناسایی نشده و بدون تغییر عبور می‌کنند. - رمزگشایی نهایی: پس از عبور از مرحله بررسی، این توالی‌ها به دستورات
Directory Traversalتبدیل شده و پیش از باز شدن فایل برای نوشتن، رمزگشایی می‌شوند.
پیامد امنیتی
در نتیجه، یک مهاجم می‌تواند با طراحی یک URL خاص، نرم‌افزار Axel را مجبور کند تا محتوای دانلود شده را در مسیرهای دلخواه سیستم فایل (Filesystem paths) نسبت به دایرکتوری کاری فعلی (Current Working Directory) بنویسد. این موضوع می‌تواند منجر به جایگزینی فایل‌های حساس یا اجرای کد در شرایط خاص شود.
