CVE-2026-62683
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W File Browser przed wersją 2.63.17 usunięcie katalogu z końcowym ukośnikiem (np. /a/) nie usuwa istniejącego publicznego udostępnienia tego katalogu (np. /a). Błąd wynika z nieprawidłowej normalizacji ścieżki w zapytaniu do bazy danych Bolt, co pozostawia nieaktualny wpis udostępnienia. Po ponownym utworzeniu tego samego katalogu, stare udostępnienie ujawnia nową zawartość.
Ocena ryzyka
Organizacja naraża się na nieautoryzowany dostęp do plików, które zostały umieszczone w odtworzonym katalogu po usunięciu oryginalnego. Stare, nieusunięte publiczne udostępnienie może ujawnić poufne dane osobom nieuprawnionym.
Rekomendacja
Należy niezwłocznie zaktualizować File Browser do wersji 2.63.17 lub nowszej. Po aktualizacji zaleca się sprawdzenie i usunięcie wszelkich nieaktualnych publicznych udostępnień w systemie.
Oryginalny opis (angielski, źródło NVD)
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. Prior to 2.63.17, File Browser can leave a public directory share behind when the shared directory is deleted through a path with a trailing slash because the share cleanup path calls DeleteWithPathPrefix(file.Path, userID) and the Bolt backend performs the database prefix query with the unnormalized path before trimming the slash for boundary checks, so deleting /a/ does not delete the stored /a share and the stale public share exposes future content if the same path is recreated. This issue is fixed in version 2.63.17.