CVE-2026-35607— File Browser 安全漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-35607の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
File Browser: Proxy auth auto-provisioned users inherit Execute permission and Commands
ソース: NVD (National Vulnerability Database)
脆弱性説明
File Browser is a file managing interface for uploading, deleting, previewing, renaming, and editing files within a specified directory. Prior to 2.63.1, the fix in commit b6a4fb1 ("self-registered users don't get execute perms") stripped Execute permission and Commands from users created via the signup handler. The same fix was not applied to the proxy auth handler. Users auto-created on first successful proxy-auth login are granted execution capabilities from global defaults, even though the signup path was explicitly changed to prevent execution rights from being inherited by automatically provisioned accounts. This vulnerability is fixed in 2.63.1.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
特权管理不恰当
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
File Browser 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
File Browser是File Browser开源的一个文件管理界面，在指定的目录，它可以用来上传，删除，预览和编辑文件。 File Browser 2.63.1之前版本存在安全漏洞，该漏洞源于代理身份验证处理程序未应用与注册处理程序相同的修复，导致通过代理身份验证首次登录自动创建的用户被授予执行能力，可能导致权限提升。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| filebrowser | filebrowser | < 2.63.1 | - |
II. CVE-2026-35607の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
Qwen3.6-35B-A3B · 4538 文字数
有料版に含まれるもの：
脆弱性の原理を深く分析
トリガー条件と影響範囲
完全な実行可能POCコード
攻撃チェーンと緩和策の提案
POCパッケージのダウンロード
月間100件以上のAI生成枠
III. CVE-2026-35607のインテリジェンス情報
请登录查看更多情报信息。
Same Patch Batch · filebrowser · 2026-04-07 · 5 CVEs total
| CVE-2026-35585 | File Browser has a Command Injection via Hook Runner | |
| CVE-2026-35604 | File Browser share links remain accessible after Share/Download permissions are revoked | |
| CVE-2026-35606 | File Browser discloses text file content via /api/resources endpoint bypassing Perm.Downlo | |
| CVE-2026-35605 | File Browser has an access rule bypass via HasPrefix without trailing separator in path ma |
IV. 関連脆弱性
同じ製品: filebrowser
- CVE-2026-35606
File Browser discloses text file content via /api/resources - CVE-2026-35605
File Browser has an access rule bypass via HasPrefix without - CVE-2026-35604
File Browser share links remain accessible after Share/Downl - CVE-2026-35585
File Browser has a Command Injection via Hook Runner - CVE-2026-34530
File Browser is vulnerable to Stored Cross-Site Scripting vi
同じベンダー: filebrowser
- CVE-2026-35606
File Browser discloses text file content via /api/resources - CVE-2026-35605
File Browser has an access rule bypass via HasPrefix without - CVE-2026-35604
File Browser share links remain accessible after Share/Downl - CVE-2026-35585
File Browser has a Command Injection via Hook Runner - CVE-2026-34530
File Browser is vulnerable to Stored Cross-Site Scripting vi
同じ弱点: CWE-269
- CVE-2026-42562
Plainpad: Privilege Escalation via Writable Admin Field in P - CVE-2026-41163
bubblewrap vulnerable to privilege escalation in setuid mode - CVE-2026-44987
SysReptor: Privilege Escalation from User Admin to Superuser - CVE-2026-42185
People: Privilege Escalation via Missing Role Ceiling in Mai - CVE-2026-40001
Local privilege escalation vulnerability in ZTE PROCESS Guar
V. CVE-2026-35607へのコメント
まだコメントはありません