CVE-2026-82237
Publiée le 2026-08-28 · Dernière modification le 2026-09-24
Les installations de Filebrowser jusqu'à la version 2.63.23 sont affectées par une erreur de logique où le renommage d'un fichier partagé ne supprime pas l'enregistrement du partage. Si un nouveau fichier, sans lien avec le précédent, est ultérieurement placé exactement au même chemin d'accès d'origine, toute personne disposant de l'ancien lien de partage peut accéder à ce nouveau fichier. Cette faille est difficile à exploiter car elle nécessite que l'attaquant possède déjà un lien de partage et dépend de la création d'un fichier spécifique à un emplacement précis.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
filebrowser through 2.63.23 does not remove share records when a shared file is renamed (only deletion triggers share cleanup). The share record is keyed by path, so it survives the rename and remains dormant (returning 404 while the path is empty). When any new, unrelated file later appears at the original shared path — via re-upload, another user with create permission, or a hook — the stale public share link serves that new file under the original link's password and expiry settings, unexpectedly exposing it.