Vulnerabilidad en File Browser (CVE-2026-32758)

File Browser es una interfaz de gestión de archivos para subir, eliminar, previsualizar, renombrar y editar archivos dentro de un directorio especificado. Las versiones 2.61.2 e inferiores son vulnerables a Salto de ruta a través del resourcePatchHandler (http/resource.go). La ruta de destino en resourcePatchHandler se valida contra las reglas de acceso antes de ser limpiada/normalizada, mientras que la operación de archivo real llama a path.Clean() después, resolviendo secuencias de .. en una ruta efectiva diferente. Esto permite a un usuario autenticado con permisos de Creación o Renombrado eludir las reglas de denegación configuradas por el administrador (tanto basadas en prefijos como en expresiones regulares) inyectando secuencias de .. en el parámetro de destino de una solicitud PATCH. Como resultado, el usuario puede escribir o mover archivos a cualquier ruta protegida por reglas de denegación dentro de su ámbito. Sin embargo, esto no puede usarse para escapar del ámbito BasePathFs del usuario o leer de rutas restringidas. Este problema ha sido solucionado en la versión 2.62.0.