JVNDB-2026-008499

File Browserにおける複数の脆弱性

File Browserは、指定されたディレクトリ内でファイルのアップロード、削除、プレビュー、名前変更、編集を行うためのファイル管理インターフェースです。バージョン2.61.0以下には、ダウンロード権限が拒否されているユーザー（perm.download = false）であっても共有権限が付与されている場合（perm.share = true）、公開共有リンクを作成することでファイル内容を外部に持ち出すことができる権限強制回避の脆弱性があります。直接の生ファイルダウンロードエンドポイント（/api/raw/）はダウンロード権限を正しくチェックしますが、共有作成エンドポイントはPerm.Shareのみを確認し、公開ダウンロードハンドラー（/api/public/dl/hash）は元のファイル所有者がダウンロード権限を持っているかどうかを検証せずにファイル内容を提供します。これは、共有アクセス権を持つ認証済みユーザーがファイルを共有し、その後認証不要の公開ダウンロードURLを通じて取得することでダウンロード制限を回避できることを意味します。この脆弱性によって、明示的に直接のダウンロードを禁止されたユーザーでもファイルを公に配布できるため、データ損失防止および役割分離ポリシーが損なわれます。この問題はバージョン2.62.0で修正されました。

File Browser

• File Browser 2.62.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authorization Policy Bypass in Public Share Download Flow  Advisory  filebrowser/filebrowser  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. ユーザ制御の鍵による認証回避(CWE-639) [その他]
3. 不正な認証(CWE-863) [その他]

1. CVE-2026-32761

1. National Vulnerability Database (NVD) : CVE-2026-32761
2. 関連文書 : Release v2.62.0  filebrowser/filebrowser  GitHub
3. 関連文書 : fix: make perm.share depend on share.download  filebrowser/filebrowser@09a2616  GitHub

• [2026年03月25日]
    掲載