CVE-2026-90928

Podatność w File Browser przed wersją 2.63.16 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia i modyfikacji plików na tworzenie plików poza dozwolonym zakresem. Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (symlink) – sprawdzany jest najbliższy istniejący przodek, a następnie podąża się za dowiązaniem.

File Browser to interfejs zarządzania plikami, który od wersji 2.0.0-rc.1 pozwala na podszywanie się pod użytkowników, w tym administratorów, przez nieautoryzowanych atakujących. Wystarczy wysłać sfałszowany nagłówek HTTP, aby uzyskać dostęp bez potrzeby podawania danych uwierzytelniających.

File Browser przed wersją 2.63.6 zawierał lukę w funkcji Hook Authentication, która pozwalała na delegowanie weryfikacji logowania do zewnętrznego polecenia powłoki. Użytkownicy mogli wprowadzać dane logowania, które były interpolowane do tego polecenia bez sanitizacji, co umożliwiało atakującym zdalne wykonanie dowolnych poleceń systemowych.

File Browser do wersji 2.63.23 stosuje reguły ścieżek do żądanej ścieżki leksykalnej, ale rozwiązuje dowiązania symboliczne bez ponownego stosowania reguł do celu, co pozwala uwierzytelnionym użytkownikom na ominięcie reguł odmowy. Atakujący mogą czytać i nadpisywać pliki objęte zakazem, uzyskując do nich dostęp przez aliasy dowiązań symbolicznych, które wskazują na zabronione ścieżki.

File Browser w wersjach od 2.5.0 do 2.63.23 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym bezpośredniego przesyłania (resourcePostHandler w http/resource.go). W przeciwieństwie do handlera TUS, handler bezpośredniego przesyłania nie odrzuca celu będącego istniejącym katalogiem; żądanie POST z ?override=true skierowane na katalog kończy się niepowodzeniem w writeFile, a ścieżka czyszczenia wywołuje Fs.RemoveAll na ścieżce żądania, rekurencyjnie usuwając całe drzewo. Czyszczenie nie jest ograniczone uprawnieniem Perm.Delete ani regułą checkDescendants, więc uwierzytelniony użytkownik z domyślnymi uprawnieniami Create i Modify może usuwać katalogi, do których nie ma uprawnień.

Wersje File Browser od 2.63.6 do 2.63.23 nie usuwają publicznych linków udostępniania, gdy uprzywilejowany użytkownik usunie plik udostępniony przez innego użytkownika. Atakujący mogą uzyskać dostęp do przetrwałego linku udostępniania, aby pobrać nowe, niezwiązane treści przesłane na tę samą ścieżkę bez uwierzytelnienia.

File Browser przed wersją 2.63.17 bezpośrednio serializuje strukturę Link w funkcjach sharePostHandler, shareListHandler i shareGetsHandler, co powoduje ujawnienie password_hash i tokenu bypass w odpowiedziach API. Administrator może pobrać te sekrety dla udziałów każdego użytkownika, umożliwiając ataki offline na hasła i bezpośredni dostęp do chronionych udziałów.

File Browser przed wersją 2.63.20 nie honoruje izolacji createUserDir w ścieżkach automatycznego provisionowania uwierzytelniania proxy i hook. Atakujący z ważnymi poświadczeniami uwierzytelnionymi upstream mogą czytać, modyfikować, usuwać i udostępniać pliki innych użytkowników, wykorzystując przypisanie zakresu do katalogu głównego serwera.

File Browser przed wersją v2.63.22 nie sprawdza poprawnie reguł dostępu dla elementów podrzędnych podczas rekurencyjnych operacji kopiowania, zmiany nazwy i usuwania, co pozwala uwierzytelnionym użytkownikom na obejście kontroli dostępu opartej na ścieżkach. Atakujący mogą kopiować, zmieniać nazwy lub usuwać zabronione pliki, operując na dozwolonym katalogu nadrzędnym, co narusza izolację opartą na regułach dla poufności i integralności.

File Browser w wersjach od 2.50.0 do 2.63.21 nie weryfikuje wygaśnięcia JWT, gdy skonfigurowane jest uwierzytelnianie proxy z niestandardową stroną wylogowania. Atakujący z wcześniej ważnym tokenem mogą uzyskiwać dostęp do chronionych tras i punktów końcowych administracyjnych bezterminowo oraz wymieniać wygasłe tokeny na nowe za pośrednictwem punktu odnowienia.