CVE-2026-90929 in File Browser
Riassunto
di VulDB • 14/09/2026
Le versioni di File Browser >= 2.5.0 e <= 2.63.23 presentano un difetto di autorizzazione errata nell'endpoint per il caricamento diretto (resourcePostHandler in http/resource.go). A differenza del handler TUS, l'handler per il caricamento diretto non rifiuta come target una directory esistente; una richiesta POST con ?override=true indirizzata a una directory fallisce all'interno di writeFile (una directory non può essere aperta in scrittura) e il percorso di cleanup dell'errore chiama quindi Fs.RemoveAll sul path della richiesta, eliminando ricorsivamente l'intera struttura. Questo processo di pulizia non è vincolato né dall'autorizzazione Perm.Delete né dalla regola checkDescendants walk applicata dai handler delete e patch; pertanto, un utente autenticato non amministratore che possiede solo le autorizzazioni predefinite Create e Modify può eliminare directory per cui non ha l'autorizzazione alla cancellazione, inclusi i file vietati dalle regole al loro interno. L'eliminazione rimane confinata all'ambito dell'utente poiché ScopedFs.RemoveAll applica ancora il guard dello scope. Il difetto di pulizia è stato introdotto nella v2.5.0; nessuna versione patchata è disponibile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.