CVE-2026-82237 in Filebrowser
Zusammenfassung
von VulDB • 28.08.2026
filebrowser bis Version 2.63.23 entfernt keine Share-Records (Freigabedatensätze), wenn eine freigegebene Datei umbenannt wird (nur das Löschen löst die Bereinigung der Freigaben aus). Der Share-Eintrag ist nach Pfad keyisiert, sodass er bei einer Umbenennung erhalten bleibt und inaktiv weiterbesteht (er gibt 404 zurück, solange der Pfad leer ist). Wenn später eine neue, nicht damit zusammenhängende Datei am ursprünglichen Freigabepfad erscheint – sei es durch erneutes Hochladen, einen anderen Benutzer mit Erstellungsrechten oder über einen Hook – dient die veraltete öffentliche Share-URL diese neue Datei unter den Passwort- und Ablaufzeit-Einstellungen des ursprünglichen Links und führt so zu einer unerwarteten Offenlegung.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.