CVE-2026-72838
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
FileBrowser przed wersją 2.63.19 nie egzekwuje zadeklarowanej wartości Upload-Length w endpointcie PATCH dla przesyłania wznawianego TUS, co pozwala uwierzytelnionym użytkownikom zapisywać dowolne dane na dysku. Atakujący mogą wysyłać zbyt duże treści żądań przekraczające zadeklarowaną długość, aby wyczerpać dostępne miejsce na dysku i spowodować niedostępność usługi.
Ocena ryzyka
Uwierzytelniony użytkownik może spowodować wyczerpanie miejsca na dysku, prowadząc do awarii usługi i potencjalnej utraty danych.
Rekomendacja
Zaleca się aktualizację FileBrowser do wersji 2.63.19 lub nowszej. Należy również monitorować użycie dysku i ograniczyć uprawnienia użytkowników.
Oryginalny opis (angielski, źródło NVD)
FileBrowser versions before 2.63.19 fail to enforce the declared Upload-Length in the TUS resumable-upload PATCH endpoint, allowing authenticated users to write arbitrary data to disk. Attackers can send oversized request bodies that exceed the declared upload length to exhaust available disk space and cause service unavailability.