JVNDB-2026-008501

File Browserにおける整数オーバーフローの脆弱性

File Browserは、指定されたディレクトリ内でファイルのアップロード、削除、プレビュー、名前変更、および編集を行うためのファイル管理インターフェースです。バージョン2.61.2以下では、TUSレジュマブルアップロードハンドラがUpload-Lengthヘッダーを符号付き64ビット整数として解析しますが、その値が非負であることを検証していません。このため、認証されたユーザーが負の値を指定すると、最初のPATCHリクエストでアップロード完了条件を即座に満たすことが可能になります。これにより、サーバーは空または部分的なファイルでafter_uploadのexecフックを実行し、攻撃者が任意のファイル名とゼロバイトの書き込みで設定されたフックを繰り返しトリガーできる状態となります。この影響は、コストの高い処理フックによるDoSから、悪意のあるファイル名と組み合わせたコマンドインジェクションの増幅、S3取り込みやデータベース挿入などのアップロード駆動型ワークフローの悪用まで多岐にわたります。execフックが有効でない場合でも、負のUpload-Lengthによりファイルが完了とマークされているにもかかわらずデータが含まれていない一貫性のないキャッシュエントリが作成されます。TUSアップロードエンドポイント（/api/tus）を使用するすべてのデプロイメントが影響を受けており、enableExecフラグによって影響がキャッシュの不整合からリモートコマンド実行へエスカレートします。本脆弱性に対する修正パッチや緩和策は、公開時点で存在しません。

File Browser

• File Browser 2.61.2 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : TUS Negative Upload-Length Fires Post-Upload Hooks Prematurely  Advisory  filebrowser/filebrowser  GitHub

1. 整数オーバーフローまたはラップアラウンド(CWE-190) [その他]

1. CVE-2026-32759

1. National Vulnerability Database (NVD) : CVE-2026-32759
2. 関連文書 : Fix: Command Execution/Runner Features  Issue #5199  filebrowser/filebrowser

• [2026年03月25日]
    掲載