Impatto Sistemico

Critico (77.69)

Sintesi

Disponibili Proof of Concept (PoC) per le vulnerabilità CVE-2026-73613, CVE-2026-73612 e CVE-2026-73611, con gravita “alta” e già sanate dal vendor, presenti in File Browser, applicazione open source e self hosted che fornisce un’interfaccia web per la gestione di file e cartelle su un server.

Tipologia

• Arbitrary File Deletion
• Arbitrary File Read
• Authentication Bypass
• Security Restrictions Bypass

Descrizione e potenziali impatti

Nel dettaglio la vulnerabilità identificata tramite la CVE-2026-73613, di tipo “Improper Link Resolution”, con score CVSS 3.1 pari a 8.2, interessa il meccanismo di gestione della cache TUS di File Browser. Tale vulnerabilità è dovuta all’utilizzo di operazioni di cancellazione effettuate su percorsi filesystem che possono essere modificati tramite collegamenti simbolici ( symlink ) durante una specifica finestra temporale. Un utente malintenzionato autenticato potrebbe sfruttare la vulnerabilità per eludere meccanismi di sicurezza e indurre il sistema a eliminare file arbitrari sul filesystem dei sistemi interessati.

La seconda vulnerabilità, identificata tramite la CVE-2026-73612, di tipo “Authorization Bypass” e con score CVSS 4.0 pari a 8.6, è causata da meccanismi di controllo non adeguati sugli elementi discendenti durante le operazioni ricorsive di copia, rinomina ed eliminazione. Nel dettaglio, i controlli di autorizzazione vengono applicati esclusivamente alla directory oggetto dell’operazione, senza considerare le eventuali restrizioni associate ai file e alle sottodirectory in essa contenuti. Un utente autenticato malintenzionato potrebbe quindi copiare o rinominare una directory per accedere a file e cartelle discendenti normalmente soggetti a restrizioni di accesso, oppure eliminare la directory padre determinando la cancellazione dei relativi contenuti.

La terza vulnerabilità, identificata tramite la CVE-2026-73611, di tipo “Insufficient Session Expiration” e con score CVSS 4.0 pari a 7.6, riguarda il meccanismo di autenticazione proxy basato su token JWT di File Browser. Tale vulnerabilità è dovuta alla mancata verifica della scadenza dei token in specifiche configurazioni che prevedono l’utilizzo di una pagina di logout non di default. Nel dettaglio, il sistema può continuare a considerare validi token ormai scaduti e consentirne il rinnovo tramite gli appositi endpoint di autenticazione. Un attaccante in possesso di un token precedentemente valido potrebbe quindi mantenere l’accesso a funzionalità protette e risorse amministrative oltre il periodo previsto, eludendo i meccanismi di autenticazione.

Prodotti e/o versioni affette

File Server, versione 2.63.21 e precedenti

Azioni di mitigazione

Ove non già provveduto, si raccomanda l’applicazione delle patch di sicurezza più recenti fornite dal produttore.