CVE-2026-29188
CriticalSummary
File Browser przed wersją 2.61.1 zawierał lukę w kontroli dostępu w punkcie końcowym DELETE protokołu TUS, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami tylko do tworzenia na usuwanie dowolnych plików i katalogów w ich zakresie. Problem ten został naprawiony w wersji 2.61.1.
Risk Assessment
Organizacje, które wdrożyły File Browser w środowiskach wieloużytkownikowych, mogą być narażone na nieautoryzowane usunięcie plików przez użytkowników, którym administracja przyznała jedynie ograniczone uprawnienia. Może to prowadzić do utraty danych i naruszenia integralności systemu.
Recommendation
Zaleca się aktualizację do wersji 2.61.1 lub nowszej, aby usunąć tę lukę. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników w celu zapewnienia odpowiedniej kontroli dostępu.
Original NVD description (English source)
File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. Prior to version 2.61.1, a broken access control vulnerability in the TUS protocol DELETE endpoint allows authenticated users with only Create permission to delete arbitrary files and directories within their scope, bypassing the intended Delete permission restriction. Any multi-user deployment where administrators explicitly restrict file deletion for certain users is affected. This issue has been patched in version 2.61.1.