CVE-2026-61874
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w FileBrowser przed wersją 2.63.17 polega na braku normalizacji ścieżek przed zapytaniem o indeks udostępnień w funkcji DeleteWithPathPrefix. Umożliwia to uwierzytelnionym użytkownikom pozostawienie nieaktualnych publicznych udostępnień po usunięciu katalogu z ukośnikiem na końcu ścieżki.
Ocena ryzyka
Atakujący może odtworzyć ten sam katalog po jego usunięciu, a nieaktualny publiczny link udostępniający ujawni nową zawartość, co prowadzi do nieautoryzowanego dostępu do danych.
Rekomendacja
Należy natychmiast zaktualizować FileBrowser do wersji 2.63.17 lub nowszej, która normalizuje ścieżki przed operacjami na indeksie udostępnień.
Oryginalny opis (angielski, źródło NVD)
filebrowser versions before 2.63.17 fail to normalize paths before querying the share index in DeleteWithPathPrefix, allowing authenticated users to leave stale public shares behind. Attackers can delete a shared directory using a trailing-slash path, then recreate the same directory to expose new contents through the dormant public share URL.