CVE-2026-72836
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
FileBrowser przed wersją 2.63.19 nie uwzględnia systemów plików niewrażliwych na wielkość liter podczas sprawdzania własności katalogu domowego podczas samorejestracji. Gdy Signup i CreateUserDir są włączone, a root FileBrowser jest na systemie plików niewrażliwym na wielkość liter (potwierdzone na Windows/NTFS), dwie samorejestrowane nazwy użytkowników różniące się tylko wielkością liter (np. CaseVictim i casevictim) są przechowywane jako oddzielne konta, ale rozwiązują się do tego samego fizycznego katalogu domowego, ponieważ kontrola zakresu porównuje zapisany zakres jako dokładny ciąg znaków wrażliwy na wielkość liter. Drugi rejestrujący może zatem czytać, nadpisywać i usuwać pliki innego konta przez uwierzytelnione punkty końcowe HTTP, bez potrzeby istniejącego konta lub interakcji ofiary.
Ocena ryzyka
Naruszenie izolacji kont może prowadzić do nieautoryzowanego dostępu do plików innych użytkowników, ich modyfikacji lub usunięcia, co stanowi poważne zagrożenie dla poufności i integralności danych.
Rekomendacja
Zaktualizuj FileBrowser do wersji 2.63.19 lub nowszej, która zawiera poprawkę, oraz rozważ użycie systemów plików wrażliwych na wielkość liter lub dodatkowych kontroli.
Oryginalny opis (angielski, źródło NVD)
FileBrowser before 2.63.19 does not account for case-insensitive filesystems when checking home directory ownership during self-registration. When Signup and CreateUserDir are enabled and FileBrowser's root is on a case-insensitive filesystem (confirmed on Windows/NTFS), two self-registered usernames that differ only in letter case (e.g., CaseVictim and casevictim) are stored as distinct accounts but resolve to the same physical home directory, because the scope-ownership check compares the persisted scope as an exact case-sensitive string. A second registrant can therefore read, overwrite, and delete another account's files through authenticated HTTP endpoints, without needing an existing account or victim interaction.