Vulnerabilidad en File Browser (CVE-2026-32761)

Navegador de Archivos es una interfaz de gestión de archivos para cargar, eliminar, previsualizar, renombrar y editar archivos dentro de un directorio especificado. Las versiones 2.61.0 e inferiores contienen un bypass de aplicación de permisos que permite a los usuarios a quienes se les deniegan los privilegios de descarga (perm.download = false) pero se les conceden privilegios de compartir (perm.share = true) exfiltrar contenido de archivos mediante la creación de enlaces de compartición públicos. Mientras que el endpoint de descarga directa en bruto (/api/raw/) aplica correctamente el permiso de descarga, el endpoint de creación de compartición solo verifica Perm.Share, y el gestor de descarga pública (/api/public/dl/) sirve contenido de archivos sin verificar que el propietario original del archivo tenga permiso de descarga. Esto significa que cualquier usuario autenticado con acceso de compartición puede eludir las restricciones de descarga compartiendo un archivo y luego recuperándolo a través de la URL de descarga pública no autenticada. La vulnerabilidad socava las políticas de prevención de pérdida de datos y de separación de roles, ya que los usuarios restringidos pueden distribuir públicamente archivos que tienen explícitamente bloqueada la descarga directa. Este problema ha sido solucionado en la versión 2.62.0.