CVE-2026-29188
KrytyczneStreszczenie
File Browser przed wersją 2.61.1 zawierał lukę w kontroli dostępu w punkcie końcowym DELETE protokołu TUS, która pozwalała uwierzytelnionym użytkownikom z uprawnieniami tylko do tworzenia na usuwanie dowolnych plików i katalogów w ich zakresie. Problem ten został naprawiony w wersji 2.61.1.
Ocena ryzyka
Organizacje, które wdrożyły File Browser w środowiskach wieloużytkownikowych, mogą być narażone na nieautoryzowane usunięcie plików przez użytkowników, którym administracja przyznała jedynie ograniczone uprawnienia. Może to prowadzić do utraty danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację do wersji 2.61.1 lub nowszej, aby usunąć tę lukę. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników w celu zapewnienia odpowiedniej kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
File Browser provides a file managing interface within a specified directory and it can be used to upload, delete, preview, rename and edit files. Prior to version 2.61.1, a broken access control vulnerability in the TUS protocol DELETE endpoint allows authenticated users with only Create permission to delete arbitrary files and directories within their scope, bypassing the intended Delete permission restriction. Any multi-user deployment where administrators explicitly restrict file deletion for certain users is affected. This issue has been patched in version 2.61.1.