CVE-2026-32759
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W interfejsie zarządzania plikami File Browser w wersjach 2.x przed 2.33.8 występuje podatność związana z obsługą przesyłania plików TUS, która nie weryfikuje, czy wartość nagłówka Upload-Length jest nieujemna. Umożliwia to uwierzytelnionemu użytkownikowi przesłanie negatywnej wartości, co prowadzi do wywołania haków exec z pustymi lub częściowymi plikami.
Ocena ryzyka
Podatność ta może prowadzić do ataków DoS, amplifikacji wstrzykiwania poleceń oraz nadużyć w procesach opartych na przesyłaniu plików. W przypadku włączenia haków exec, ryzyko zdalnego wykonania poleceń wzrasta.
Rekomendacja
Zaleca się aktualizację do wersji 2.33.8 lub nowszej oraz wyłączenie funkcji enableExec, aby zminimalizować ryzyko. Administratorzy powinni również unikać ignorowania ostrzeżeń dotyczących znanych podatności.
Inne podatności w File Browser
Zobacz wszystkie- CVE-2026-55668Średnie
Podatność w File Browser przed wersją 2.63.16 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia i modyfikacji plików na tworzenie plików poza dozwolonym zakresem. Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (symlink) – sprawdzany jest najbliższy istniejący przodek, a następnie podąża się za dowiązaniem.
- CVE-2026-54089Krytyczne
File Browser to interfejs zarządzania plikami, który od wersji 2.0.0-rc.1 pozwala na podszywanie się pod użytkowników, w tym administratorów, przez nieautoryzowanych atakujących. Wystarczy wysłać sfałszowany nagłówek HTTP, aby uzyskać dostęp bez potrzeby podawania danych uwierzytelniających.
- CVE-2026-54088Krytyczne
File Browser przed wersją 2.63.6 zawierał lukę w funkcji Hook Authentication, która pozwalała na delegowanie weryfikacji logowania do zewnętrznego polecenia powłoki. Użytkownicy mogli wprowadzać dane logowania, które były interpolowane do tego polecenia bez sanitizacji, co umożliwiało atakującym zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2026-90930Średnie
File Browser do wersji 2.63.23 stosuje reguły ścieżek do żądanej ścieżki leksykalnej, ale rozwiązuje dowiązania symboliczne bez ponownego stosowania reguł do celu, co pozwala uwierzytelnionym użytkownikom na ominięcie reguł odmowy. Atakujący mogą czytać i nadpisywać pliki objęte zakazem, uzyskując do nich dostęp przez aliasy dowiązań symbolicznych, które wskazują na zabronione ścieżki.
- CVE-2026-90929Wysokie
File Browser w wersjach od 2.5.0 do 2.63.23 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym bezpośredniego przesyłania (resourcePostHandler w http/resource.go). W przeciwieństwie do handlera TUS, handler bezpośredniego przesyłania nie odrzuca celu będącego istniejącym katalogiem; żądanie POST z ?override=true skierowane na katalog kończy się niepowodzeniem w writeFile, a ścieżka czyszczenia wywołuje Fs.RemoveAll na ścieżce żądania, rekurencyjnie usuwając całe drzewo. Czyszczenie nie jest ograniczone uprawnieniem Perm.Delete ani regułą checkDescendants, więc uwierzytelniony użytkownik z domyślnymi uprawnieniami Create i Modify może usuwać katalogi, do których nie ma uprawnień.
- CVE-2026-90928Średnie
File Browser do wersji 2.63.23 zawiera podatność na wyczerpanie pamięci w punkcie końcowym konwersji napisów, który ładuje całe pliki napisów do pamięci bez ograniczeń rozmiaru. Uwierzytelnieni atakujący z uprawnieniem pobierania mogą żądać konwersji dużych plików .srt, .ass lub .ssa i wyczerpać pamięć serwera poprzez równoczesne żądania, powodując odmowę usługi.
- CVE-2026-82236Niskie
Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.
- CVE-2026-62684Niskie
File Browser przed wersją 2.63.17 bezpośrednio serializuje strukturę Link w funkcjach sharePostHandler, shareListHandler i shareGetsHandler, co powoduje ujawnienie password_hash i tokenu bypass w odpowiedziach API. Administrator może pobrać te sekrety dla udziałów każdego użytkownika, umożliwiając ataki offline na hasła i bezpośredni dostęp do chronionych udziałów.
- CVE-2026-72837Wysokie
File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.
- CVE-2026-73612Wysokie
File Browser przed wersją v2.63.22 nie sprawdza poprawnie reguł dostępu dla elementów podrzędnych podczas rekurencyjnych operacji kopiowania, zmiany nazwy i usuwania, co pozwala uwierzytelnionym użytkownikom na obejście kontroli dostępu opartej na ścieżkach. Atakujący mogą kopiować, zmieniać nazwy lub usuwać zabronione pliki, operując na dozwolonym katalogu nadrzędnym, co narusza izolację opartą na regułach dla poufności i integralności.
Oryginalny opis (angielski, źródło NVD)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. In versions on the 2.x branch prior to 2.33.8, the TUS resumable upload handler parses the Upload-Length header as a signed 64-bit integer without validating that the value is non-negative, allowing an authenticated user to supply a negative value that instantly satisfies the upload completion condition upon the first PATCH request. This causes the server to fire after_upload exec hooks with empty or partial files, enabling an attacker to repeatedly trigger any configured hook with arbitrary filenames and zero bytes written. The impact ranges from DoS through expensive processing hooks, to command injection amplification when combined with malicious filenames, to abuse of upload-driven workflows like S3 ingestion or database inserts. Even without exec hooks enabled, the negative Upload-Length creates inconsistent cache entries where files are marked complete but contain no data. All deployments using the TUS upload endpoint (/api/tus) are affected, with the enableExec flag escalating the impact from cache inconsistency to remote command execution. This feature has been disabled by default for all installations from v2.33.8 onwards, including for existent installations. To exploit this vulnerability, the instance administrator must turn on a feature and ignore all the warnings about known vulnerabilities.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS