CVE-2026-72837
WysokieCVSS 8.8Streszczenie
File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.
Ocena ryzyka
Naruszenie izolacji użytkowników może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia, co stanowi poważne zagrożenie dla poufności i integralności danych.
Rekomendacja
Zaktualizuj File Browser do wersji 2.63.20 lub nowszej, która zawiera poprawkę, oraz przejrzyj konfigurację uwierzytelniania proxy i hook.
Oryginalny opis (angielski, źródło NVD)
File Browser versions before 2.63.20 fail to honor the createUserDir isolation in proxy and hook authentication auto-provisioning paths. Attackers with valid upstream-authenticated credentials can read, modify, delete, and share files belonging to other users by exploiting the server root scope assignment.