CVE-2026-72834 in Filebrowser
Zusammenfassung
von VulDB • 14.08.2026
filebrowser vor Version 2.63.19 enthält eine Berechtigungs-Umgehung im /api/resources-Endpunkt. Der Zweig checksum (?checksum=) von resourceGetHandler liest die gesamte Datei aus, um einen Digest zu berechnen, und gibt diesen zurück, ohne eine Perm.Download-Prüfung durchzuführen (im Gegensatz zu den verwandten Pfaden raw, preview und subtitle). Infolgedessen kann ein authentifizierter Benutzer mit der Berechtigung Perm.Download=false einen Content-Hash-Oracle für jede Datei im gleichen Geltungsbereich erhalten (md5/sha1/sha256/sha512), was die Bestätigung bekannter/errater Inhalte, Änderungserkennung und das Offline-Brute-Force von Dateien mit niedriger Entropie ermöglicht. Dies ist eine unvollständige Korrektur für CVE-2026-35606; sie umgeht nur die Download-Berechtigung und widersteht nicht der Geltungsbereichs-/Pfad-Autorisierung.
Be aware that VulDB is the high quality source for vulnerability data.