CVE-2026-82237
NiskieCVSS 3.1Streszczenie
W filebrowser do wersji 2.63.23 nie są usuwane rekordy udostępniania, gdy udostępniony plik zostanie zmieniony nazwą (tylko usunięcie wyzwala czyszczenie). Rekord udostępniania jest powiązany ze ścieżką, więc przetrwa zmianę nazwy i pozostaje uśpiony (zwracając 404, gdy ścieżka jest pusta). Gdy później pojawi się nowy, niezwiązany plik pod oryginalną ścieżką — przez ponowne przesłanie, innego użytkownika z uprawnieniami do tworzenia lub hook — stary publiczny link udostępniania serwuje ten nowy plik z ustawieniami hasła i wygaśnięcia oryginalnego linku, nieoczekiwanie go ujawniając.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane ujawnienie nowych plików, które pojawią się pod tą samą ścieżką, osobom posiadającym stary link udostępniania, co może prowadzić do wycieku danych.
Rekomendacja
Zaleca się aktualizację filebrowser do wersji zawierającej poprawkę oraz ręczne usuwanie starych linków udostępniania po zmianie nazw plików.
Inne podatności w filebrowser
Zobacz wszystkie- CVE-2026-82238Niskie
W filebrowser od wersji 2.24.0 występuje wyścig w obsłudze przesyłania TUS, który pozwala uwierzytelnionym użytkownikom zapisywać poza zadeklarowaną długością Upload-Length poprzez wysyłanie równoczesnych żądań PATCH. Atakujący mogą wysyłać wiele jednoczesnych żądań PATCH na tym samym offsecie, aby ominąć walidację długości, co skutkuje plikami przekraczającymi zadeklarowany rozmiar i wyzwalaniem hooków zakończenia dla zbyt dużych przesyłek.
- CVE-2026-72834Średnie
filebrowser przed wersją 2.63.19 zawiera obejście uprawnień w endpointcie /api/resources. Gałąź checksum (?checksum=) w resourceGetHandler odczytuje cały plik, aby obliczyć skrót i zwraca go bez sprawdzania uprawnienia Perm.Download (w przeciwieństwie do ścieżek raw, preview i subtitle). W rezultacie uwierzytelniony użytkownik z Perm.Download=false może uzyskać wyrocznię skrótu treści dla dowolnego pliku w tym samym zakresie (md5/sha1/sha256/sha512), umożliwiając potwierdzenie znanej/odgadniętej treści, wykrywanie zmian i ataki brute-force offline na pliki o niskiej entropii. Jest to niepełna poprawka CVE-2026-35606; omija tylko uprawnienie Download i nie pokonuje autoryzacji zakresu/ścieżki.
- CVE-2026-72839Krytyczne
filebrowser do wersji 2.63.16 nie ogranicza prawidłowo zakresu i uprawnień, gdy włączona jest samorejestracja z domyślnym ustawieniem CreateUserDir. Nieuwierzytelnieni atakujący mogą rejestrować konta, które dziedziczą pełny zakres serwera root z uprawnieniami do tworzenia, modyfikowania, usuwania, zmiany nazw, udostępniania i pobierania, co pozwala na nieograniczony dostęp do wszystkich plików.
- CVE-2026-82235Średnie
filebrowser do wersji 2.63.23 nie waliduje nazwanych potoków w archiwach katalogów i publicznych handlerach pobierania, co pozwala atakującym na wywołanie blokujących wywołań systemowych open. Uwierzytelnieni użytkownicy lub anonimowi goście z publicznymi linkami mogą wielokrotnie żądać archiwów zawierających nazwane potoki, co powoduje zablokowanie gorutyn serwera i wyczerpanie zasobów połączeń.
- CVE-2026-72838Średnie
FileBrowser przed wersją 2.63.19 nie egzekwuje zadeklarowanej wartości Upload-Length w endpointcie PATCH dla przesyłania wznawianego TUS, co pozwala uwierzytelnionym użytkownikom zapisywać dowolne dane na dysku. Atakujący mogą wysyłać zbyt duże treści żądań przekraczające zadeklarowaną długość, aby wyczerpać dostępne miejsce na dysku i spowodować niedostępność usługi.
- CVE-2026-72836Wysokie
FileBrowser przed wersją 2.63.19 nie uwzględnia systemów plików niewrażliwych na wielkość liter podczas sprawdzania własności katalogu domowego podczas samorejestracji. Gdy Signup i CreateUserDir są włączone, a root FileBrowser jest na systemie plików niewrażliwym na wielkość liter (potwierdzone na Windows/NTFS), dwie samorejestrowane nazwy użytkowników różniące się tylko wielkością liter (np. CaseVictim i casevictim) są przechowywane jako oddzielne konta, ale rozwiązują się do tego samego fizycznego katalogu domowego, ponieważ kontrola zakresu porównuje zapisany zakres jako dokładny ciąg znaków wrażliwy na wielkość liter. Drugi rejestrujący może zatem czytać, nadpisywać i usuwać pliki innego konta przez uwierzytelnione punkty końcowe HTTP, bez potrzeby istniejącego konta lub interakcji ofiary.
- CVE-2026-72835Średnie
filebrowser przed wersją v2.63.21 nie kanonizuje ścieżek przed oceną reguł dostępu, co pozwala uwierzytelnionym użytkownikom ominąć zdefiniowane przez administratora reguły odmowy przy użyciu ścieżek z różną wielkością liter lub separatorami backslash. Atakujący mogą żądać plików z alternatywnymi reprezentacjami ścieżek, które nie pasują do żadnej reguły, ale rozwiązują się do tego samego obiektu systemu plików, uzyskując nieautoryzowany dostęp do zabronionych plików w swoim zakresie.
- CVE-2026-73613Wysokie
filebrowser przed wersją 2.63.19 zawiera podatność umożliwiającą usuwanie plików poza zakresem w mechanizmie ewakuacji pamięci podręcznej TUS, co pozwala uwierzytelnionym użytkownikom z uprawnieniem Create na usuwanie dowolnych plików poza ich zakresem. Atakujący mogą podmienić katalog nadrzędny na dowiązanie symboliczne w oknie TTL pamięci podręcznej, aby przekierować wywołanie os.Remove do celu poza zakresem, omijając zabezpieczenia ScopedFs i kontrole Perm.Delete.
- CVE-2026-61874Niskie
Podatność w FileBrowser przed wersją 2.63.17 polega na braku normalizacji ścieżek przed zapytaniem o indeks udostępnień w funkcji DeleteWithPathPrefix. Umożliwia to uwierzytelnionym użytkownikom pozostawienie nieaktualnych publicznych udostępnień po usunięciu katalogu z ukośnikiem na końcu ścieżki.
Oryginalny opis (angielski, źródło NVD)
filebrowser through 2.63.23 does not remove share records when a shared file is renamed (only deletion triggers share cleanup). The share record is keyed by path, so it survives the rename and remains dormant (returning 404 while the path is empty). When any new, unrelated file later appears at the original shared path — via re-upload, another user with create permission, or a hook — the stale public share link serves that new file under the original link's password and expiry settings, unexpectedly exposing it.