CVE-2026-90927

filebrowser do wersji 2.63.16 nie ogranicza prawidłowo zakresu i uprawnień, gdy włączona jest samorejestracja z domyślnym ustawieniem CreateUserDir. Nieuwierzytelnieni atakujący mogą rejestrować konta, które dziedziczą pełny zakres serwera root z uprawnieniami do tworzenia, modyfikowania, usuwania, zmiany nazw, udostępniania i pobierania, co pozwala na nieograniczony dostęp do wszystkich plików.

W filebrowser od wersji 2.24.0 występuje wyścig w obsłudze przesyłania TUS, który pozwala uwierzytelnionym użytkownikom zapisywać poza zadeklarowaną długością Upload-Length poprzez wysyłanie równoczesnych żądań PATCH. Atakujący mogą wysyłać wiele jednoczesnych żądań PATCH na tym samym offsecie, aby ominąć walidację długości, co skutkuje plikami przekraczającymi zadeklarowany rozmiar i wyzwalaniem hooków zakończenia dla zbyt dużych przesyłek.

W filebrowser do wersji 2.63.23 nie są usuwane rekordy udostępniania, gdy udostępniony plik zostanie zmieniony nazwą (tylko usunięcie wyzwala czyszczenie). Rekord udostępniania jest powiązany ze ścieżką, więc przetrwa zmianę nazwy i pozostaje uśpiony (zwracając 404, gdy ścieżka jest pusta). Gdy później pojawi się nowy, niezwiązany plik pod oryginalną ścieżką — przez ponowne przesłanie, innego użytkownika z uprawnieniami do tworzenia lub hook — stary publiczny link udostępniania serwuje ten nowy plik z ustawieniami hasła i wygaśnięcia oryginalnego linku, nieoczekiwanie go ujawniając.

filebrowser do wersji 2.63.23 nie waliduje nazwanych potoków w archiwach katalogów i publicznych handlerach pobierania, co pozwala atakującym na wywołanie blokujących wywołań systemowych open. Uwierzytelnieni użytkownicy lub anonimowi goście z publicznymi linkami mogą wielokrotnie żądać archiwów zawierających nazwane potoki, co powoduje zablokowanie gorutyn serwera i wyczerpanie zasobów połączeń.

FileBrowser przed wersją 2.63.19 nie egzekwuje zadeklarowanej wartości Upload-Length w endpointcie PATCH dla przesyłania wznawianego TUS, co pozwala uwierzytelnionym użytkownikom zapisywać dowolne dane na dysku. Atakujący mogą wysyłać zbyt duże treści żądań przekraczające zadeklarowaną długość, aby wyczerpać dostępne miejsce na dysku i spowodować niedostępność usługi.

FileBrowser przed wersją 2.63.19 nie uwzględnia systemów plików niewrażliwych na wielkość liter podczas sprawdzania własności katalogu domowego podczas samorejestracji. Gdy Signup i CreateUserDir są włączone, a root FileBrowser jest na systemie plików niewrażliwym na wielkość liter (potwierdzone na Windows/NTFS), dwie samorejestrowane nazwy użytkowników różniące się tylko wielkością liter (np. CaseVictim i casevictim) są przechowywane jako oddzielne konta, ale rozwiązują się do tego samego fizycznego katalogu domowego, ponieważ kontrola zakresu porównuje zapisany zakres jako dokładny ciąg znaków wrażliwy na wielkość liter. Drugi rejestrujący może zatem czytać, nadpisywać i usuwać pliki innego konta przez uwierzytelnione punkty końcowe HTTP, bez potrzeby istniejącego konta lub interakcji ofiary.

filebrowser przed wersją v2.63.21 nie kanonizuje ścieżek przed oceną reguł dostępu, co pozwala uwierzytelnionym użytkownikom ominąć zdefiniowane przez administratora reguły odmowy przy użyciu ścieżek z różną wielkością liter lub separatorami backslash. Atakujący mogą żądać plików z alternatywnymi reprezentacjami ścieżek, które nie pasują do żadnej reguły, ale rozwiązują się do tego samego obiektu systemu plików, uzyskując nieautoryzowany dostęp do zabronionych plików w swoim zakresie.

filebrowser przed wersją 2.63.19 zawiera obejście uprawnień w endpointcie /api/resources. Gałąź checksum (?checksum=) w resourceGetHandler odczytuje cały plik, aby obliczyć skrót i zwraca go bez sprawdzania uprawnienia Perm.Download (w przeciwieństwie do ścieżek raw, preview i subtitle). W rezultacie uwierzytelniony użytkownik z Perm.Download=false może uzyskać wyrocznię skrótu treści dla dowolnego pliku w tym samym zakresie (md5/sha1/sha256/sha512), umożliwiając potwierdzenie znanej/odgadniętej treści, wykrywanie zmian i ataki brute-force offline na pliki o niskiej entropii. Jest to niepełna poprawka CVE-2026-35606; omija tylko uprawnienie Download i nie pokonuje autoryzacji zakresu/ścieżki.

filebrowser przed wersją 2.63.19 zawiera podatność umożliwiającą usuwanie plików poza zakresem w mechanizmie ewakuacji pamięci podręcznej TUS, co pozwala uwierzytelnionym użytkownikom z uprawnieniem Create na usuwanie dowolnych plików poza ich zakresem. Atakujący mogą podmienić katalog nadrzędny na dowiązanie symboliczne w oknie TTL pamięci podręcznej, aby przekierować wywołanie os.Remove do celu poza zakresem, omijając zabezpieczenia ScopedFs i kontrole Perm.Delete.

Podatność w FileBrowser przed wersją 2.63.17 polega na braku normalizacji ścieżek przed zapytaniem o indeks udostępnień w funkcji DeleteWithPathPrefix. Umożliwia to uwierzytelnionym użytkownikom pozostawienie nieaktualnych publicznych udostępnień po usunięciu katalogu z ukośnikiem na końcu ścieżki.