filebrowser hasta 2.61.2 TUS Upload Endpoint /api/tus after_upload desbordamiento de búfer

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
6.7$0-$5k0.00

Resumeninformación

Una vulnerabilidad fue encontrada en filebrowser hasta 2.61.2 y clasificada como problemática. Resulta afectada una función desconocida dentro del archivo /api/tus dentro del componente TUS Upload Endpoint. Por la manipulación de un input desconocido se causa una vulnerabilidad de clase desbordamiento de búfer. Esta vulnerabilidad se cataloga como CVE-2026-32759. El ataque se puede efectuar a través de la red. No se encuentra disponible ningún exploit.

Detallesinformación

Una vulnerabilidad clasificada como problemática fue encontrada en filebrowser hasta 2.61.2. La función after_upload del archivo /api/tus del componente TUS Upload Endpoint es afectada por esta vulnerabilidad. Mediante la manipulación de un input desconocido se causa una vulnerabilidad de clase desbordamiento de búfer. Esto tiene repercusión sobre la integridad y disponibilidad. El resumen de CVE es:

Navegador de Archivos es una interfaz de gestión de archivos para subir, eliminar, previsualizar, renombrar y editar archivos dentro de un directorio especificado. En las versiones 2.61.2 e inferiores, el gestor de carga reanudable TUS analiza el encabezado Upload-Length como un entero con signo de 64 bits sin validar que el valor no sea negativo, permitiendo a un usuario autenticado proporcionar un valor negativo que satisface instantáneamente la condición de finalización de la carga tras la primera solicitud PATCH. Esto hace que el servidor dispare ganchos de ejecución 'after_upload' con archivos vacíos o parciales, permitiendo a un atacante activar repetidamente cualquier gancho configurado con nombres de archivo arbitrarios y cero bytes escritos. El impacto abarca desde DoS a través de ganchos de procesamiento costosos, hasta la amplificación de la inyección de comandos cuando se combina con nombres de archivo maliciosos, hasta el abuso de flujos de trabajo impulsados por la carga como la ingesta de S3 o las inserciones en la base de datos. Incluso sin los ganchos de ejecución habilitados, el Upload-Length negativo crea entradas de caché inconsistentes donde los archivos se marcan como completos pero no contienen datos. Todas las implementaciones que utilizan el punto final de carga TUS (/api/tus) se ven afectadas, con la bandera 'enableExec' escalando el impacto desde la inconsistencia de la caché hasta la ejecución remota de comandos. En el momento de la publicación, no había ningún parche o mitigación disponible para abordar este problema.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2026-32759. Resulta fácil de explotar. El ataque se puede hacer desde la red. Detalles técnicos son conocidos, pero no hay ningún exploit público disponible.

No hay información respecto a posibles contramedidas. Se sugiere sustituir el producto con un equivalente.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Productoinformación

Nombre

Versión

Sitio web

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3información

VulDB Puntuación meta base: 6.7
VulDB Puntuación meta temporal: 6.7

VulDB Puntuación base: 5.4
VulDB Puntuación temporal: 5.4
VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

NVD Puntuación base: 8.1
NVD Vector: 🔒

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔒
VulDB Puntuación temporal: 🔒
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Desbordamiento de búfer
CWE: CWE-190 / CWE-189
CAPEC: 🔒
ATT&CK: 🔒

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔒
Estado: No está definido

EPSS Score: 🔒
EPSS Percentile: 🔒

Predicción de precios: 🔍
Estimación del precio actual: 🔒

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: no contramedida conocida
Estado: 🔍

Hora de 0 días: 🔒

Línea de tiempoinformación

2026-03-13 CVE asignado
2026-03-20 +7 días Aviso publicado
2026-03-20 +0 días Entrada de VulDB creada
2026-03-25 +5 días Última actualización de VulDB

Fuentesinformación

Producto: github.com

Aviso: 5199
Estado: Confirmado

CVE: CVE-2026-32759 (🔒)
GCVE (CVE): GCVE-0-2026-32759
GCVE (VulDB): GCVE-100-351913

Artículoinformación

Fecha de creación: 2026-03-20 08:04
Actualizado: 2026-03-25 08:33
Cambios: 2026-03-20 08:04 (66), 2026-03-25 08:33 (12)
Completo: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Want to know what is going to be exploited?

We predict KEV entries!