漏洞关键信息 漏洞名称 Bypassable share passwords ####严重程度 Moderate 包名 FileBrowser Quantum (FileBrowser Quantum) 影响版本 1.1.2-stable 1.2.5-beta 修复版本 1.1.3-stable 1.2.6-beta CVE ID CVE-2026-27611 瑕疵 CWE-200 CWE-287 CWE-288 发现者 ByteAfterlife 漏洞描述 概要: 当你创建一个带有密码的文件共享时，人们可以完全绕过密码并仍然下载文件。 详情: 这是因为API在共享的详细信息中返回一个直接下载链接，该链接对任何具有分享链接的人都是可访问的，即使没有密码。 证明概念: 1. 作为认证用户，创建一个文件共享，指定在“可选密码”中输入密码（确保允许匿名访问，因为PoC没有解释如何在一个需要登录的共享上进行此操作，但通过一些小的API请求调整也可以在需要登录的共享上进行）。 2. 复制第一个链接（剪贴板中没有箭头）因为第二个链接直接跳过密码，无需任何努力，如另一个漏洞(GHSA-3v48-283x-f2w4)中所述。 示例API请求: 获取分享信息： 使用curl命令： 示例JSON响应: 影响: 这会影响任何相信通过密码保护文件共享是安全的人，因为他们实际上并不安全，如本报告所述。