CVE-2026-32759
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W interfejsie zarządzania plikami File Browser w wersjach 2.x przed 2.33.8 występuje podatność związana z obsługą przesyłania plików TUS, która nie weryfikuje, czy wartość nagłówka Upload-Length jest nieujemna. Umożliwia to uwierzytelnionemu użytkownikowi przesłanie negatywnej wartości, co prowadzi do wywołania haków exec z pustymi lub częściowymi plikami.
Ocena ryzyka
Podatność ta może prowadzić do ataków DoS, amplifikacji wstrzykiwania poleceń oraz nadużyć w procesach opartych na przesyłaniu plików. W przypadku włączenia haków exec, ryzyko zdalnego wykonania poleceń wzrasta.
Rekomendacja
Zaleca się aktualizację do wersji 2.33.8 lub nowszej oraz wyłączenie funkcji enableExec, aby zminimalizować ryzyko. Administratorzy powinni również unikać ignorowania ostrzeżeń dotyczących znanych podatności.
Inne podatności w File Browser
Zobacz wszystkie- CVE-2026-82236Niskie
Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.
- CVE-2026-72837Wysokie
File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.
- CVE-2026-73612Wysokie
File Browser przed wersją v2.63.22 nie sprawdza poprawnie reguł dostępu dla elementów podrzędnych podczas rekurencyjnych operacji kopiowania, zmiany nazwy i usuwania, co pozwala uwierzytelnionym użytkownikom na obejście kontroli dostępu opartej na ścieżkach. Atakujący mogą kopiować, zmieniać nazwy lub usuwać zabronione pliki, operując na dozwolonym katalogu nadrzędnym, co narusza izolację opartą na regułach dla poufności i integralności.
- CVE-2026-55668Średnie
Podatność w File Browser przed wersją 2.63.16 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia i modyfikacji plików na tworzenie plików poza dozwolonym zakresem. Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (symlink) – sprawdzany jest najbliższy istniejący przodek, a następnie podąża się za dowiązaniem.
- CVE-2026-54089Krytyczne
File Browser to interfejs zarządzania plikami, który od wersji 2.0.0-rc.1 pozwala na podszywanie się pod użytkowników, w tym administratorów, przez nieautoryzowanych atakujących. Wystarczy wysłać sfałszowany nagłówek HTTP, aby uzyskać dostęp bez potrzeby podawania danych uwierzytelniających.
- CVE-2026-54088Krytyczne
File Browser przed wersją 2.63.6 zawierał lukę w funkcji Hook Authentication, która pozwalała na delegowanie weryfikacji logowania do zewnętrznego polecenia powłoki. Użytkownicy mogli wprowadzać dane logowania, które były interpolowane do tego polecenia bez sanitizacji, co umożliwiało atakującym zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2026-62684Niskie
File Browser przed wersją 2.63.17 bezpośrednio serializuje strukturę Link w funkcjach sharePostHandler, shareListHandler i shareGetsHandler, co powoduje ujawnienie password_hash i tokenu bypass w odpowiedziach API. Administrator może pobrać te sekrety dla udziałów każdego użytkownika, umożliwiając ataki offline na hasła i bezpośredni dostęp do chronionych udziałów.
- CVE-2026-73611Średnie
File Browser w wersjach od 2.50.0 do 2.63.21 nie weryfikuje wygaśnięcia JWT, gdy skonfigurowane jest uwierzytelnianie proxy z niestandardową stroną wylogowania. Atakujący z wcześniej ważnym tokenem mogą uzyskiwać dostęp do chronionych tras i punktów końcowych administracyjnych bezterminowo oraz wymieniać wygasłe tokeny na nowe za pośrednictwem punktu odnowienia.
- CVE-2026-62843Średnie
Podatność w File Browser od wersji 2.63.6 do 2.63.16 pozwala użytkownikowi z uprawnieniami do przesyłania plików na umieszczenie pliku o nazwie zawierającej backslash, który podczas pobierania i rozpakowywania archiwum przez innego użytkownika może uciec poza katalog docelowy. Problem wynika z użycia funkcji strings.ReplaceAll(nameInArchive, "\", "/") w konstruktorze archiwów, co przekształca nazwę POSIX, np. ..\..\evil.sh, w wpis archiwum ../../evil.sh.
- CVE-2026-62685Wysokie
W File Browser przed wersją 2.63.17, gdy włączone są opcje Signup i CreateUserDir, funkcja cleanUsername() normalizuje nazwy użytkowników w sposób, który może powodować kolizje (np. 'team/one', 'team one' i 'team-one' są mapowane do tego samego katalogu domowego). Pozwala to drugiemu rejestrującemu uzyskać pełny dostęp do plików innego użytkownika.
Oryginalny opis (angielski, źródło NVD)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. In versions on the 2.x branch prior to 2.33.8, the TUS resumable upload handler parses the Upload-Length header as a signed 64-bit integer without validating that the value is non-negative, allowing an authenticated user to supply a negative value that instantly satisfies the upload completion condition upon the first PATCH request. This causes the server to fire after_upload exec hooks with empty or partial files, enabling an attacker to repeatedly trigger any configured hook with arbitrary filenames and zero bytes written. The impact ranges from DoS through expensive processing hooks, to command injection amplification when combined with malicious filenames, to abuse of upload-driven workflows like S3 ingestion or database inserts. Even without exec hooks enabled, the negative Upload-Length creates inconsistent cache entries where files are marked complete but contain no data. All deployments using the TUS upload endpoint (/api/tus) are affected, with the enableExec flag escalating the impact from cache inconsistency to remote command execution. This feature has been disabled by default for all installations from v2.33.8 onwards, including for existent installations. To exploit this vulnerability, the instance administrator must turn on a feature and ignore all the warnings about known vulnerabilities.