Vulnerabilidad en File Browser (CVE-2026-32760)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-269 Gestión de privilegios incorrecta

Fecha de publicación:

20/03/2026

Última modificación:

23/03/2026

Descripción

Navegador de Archivos es una interfaz de gestión de archivos para cargar, eliminar, previsualizar, renombrar y editar archivos dentro de un directorio especificado. En las versiones 2.61.2 e inferiores, cualquier visitante no autenticado puede registrar una cuenta de administrador completa cuando el autorregistro (signup = true) está habilitado y los permisos de usuario predeterminados tienen perm.admin = true. El gestor de registro aplica ciegamente todas las configuraciones predeterminadas (incluyendo Perm.Admin) al nuevo usuario sin ninguna protección del lado del servidor que elimine los privilegios de administrador de las cuentas autorregistradas. Se supone que el signupHandler debe crear cuentas sin privilegios para nuevos visitantes. No contiene un restablecimiento explícito de user.Perm.Admin = false después de aplicar los valores predeterminados. Si un administrador (intencionalmente o accidentalmente) configura defaults.perm.admin = true y también habilita el registro, cada cuenta creada a través del punto final de registro público es un administrador con control total sobre todos los archivos, usuarios y configuraciones del servidor. Este problema ha sido resuelto en la versión 2.62.0.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 10.00 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Alto

Puntuación base 4.0

10.00

Gravedad 4.0

CRÍTICA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto