CVE-2026-72835
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
filebrowser przed wersją v2.63.21 nie kanonizuje ścieżek przed oceną reguł dostępu, co pozwala uwierzytelnionym użytkownikom ominąć zdefiniowane przez administratora reguły odmowy przy użyciu ścieżek z różną wielkością liter lub separatorami backslash. Atakujący mogą żądać plików z alternatywnymi reprezentacjami ścieżek, które nie pasują do żadnej reguły, ale rozwiązują się do tego samego obiektu systemu plików, uzyskując nieautoryzowany dostęp do zabronionych plików w swoim zakresie.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą uzyskać dostęp do plików, do których nie powinni mieć dostępu, co narusza integralność i poufność danych.
Rekomendacja
Zaleca się aktualizację filebrowser do wersji v2.63.21 lub nowszej. Należy również upewnić się, że ścieżki są kanonizowane przed oceną reguł.
Oryginalny opis (angielski, źródło NVD)
filebrowser versions before v2.63.21 fail to canonicalize paths before evaluating access rules, allowing authenticated users to bypass administrator-defined deny rules using case-variant or backslash-separated paths. Attackers can request files with alternate path representations that match no rule but resolve to the same filesystem object, gaining unauthorized access to denied files within their scope.