Se han identificado múltiples vulnerabilidades en File Browser, incluyendo un fallo crítico que permite a los usuarios no autenticados crear cuentas de administrador (CVE-2026-32760) y una vulnerabilidad XSS almacenada (CVE-2026-34530). Estas vulnerabilidades podrían conducir a la completa puesta en peligro del sistema. Los parches están disponibles; se aconseja a los usuarios que actualicen inmediatamente.
Estas vulnerabilidades varían en gravedad, siendo la más crítica la que permite la toma de control completa del sistema.
¿Qué es Github.com/filebrowser/filebrowser/v2?
CVE-2026-32760: El registro de File Browser otorga privilegios de administrador
Crítico: Ejecución de código remoto no autenticada.
La puntuación EPSS de 0,017 indica una baja probabilidad de explotación.
Cuando el auto-registro está habilitado y los permisos de usuario por defecto incluyen privilegios de administrador, cualquier visitante no autenticado puede registrar una cuenta de administrador completa. El gestor de registro aplica todos los ajustes por defecto, incluyendo los permisos de administrador, sin la debida validación del lado del servidor.
Cómo solucionar CVE-2026-32760 en Github.com/filebrowser/filebrowser/v2
Parchear ahora- 1.Actualice su instalación de File Browser a la versión 2.62.0 o posterior.
go get -u github.com/filebrowser/filebrowser/v2@latestSolución temporal: Desactive el auto-registro o asegúrese de que los permisos de usuario por defecto no incluyan privilegios de administrador.
NextGuard marca automáticamente CVE-2026-32760 si Github.com/filebrowser/filebrowser/v2 aparece en cualquiera de sus proyectos supervisados; no se requiere ninguna búsqueda manual.
CVE-2026-32759: Vulnerabilidad de activación del gancho de carga TUS de File Browser
Gravedad no especificada.
La puntuación EPSS de 0,184 indica una probabilidad moderada de explotación.
El gestor de carga reanudable TUS analiza la cabecera `Upload-Length` como un entero de 64 bits con signo sin validar que el valor no sea negativo. Un valor negativo activa el gancho `after_upload` prematuramente, incluso con un archivo vacío.
Cómo solucionar CVE-2026-32759 en Github.com/filebrowser/filebrowser/v2
Parchear en 7 días- 1.Actualice su instalación de File Browser a la última versión.
- 2.Alternativamente, desactive los ganchos exec en entornos no confiables.
go get -u github.com/filebrowser/filebrowser/v2@latestSolución temporal: Desactive los ganchos exec (`enableExec = false`) para mitigar el riesgo de ejecución remota de comandos.
CVE-2026-32758: Omisión de la regla de acceso de File Browser a través del recorrido de la ruta
Medio: Acceso limitado a rutas restringidas.
La puntuación EPSS de 0,014 indica una baja probabilidad de explotación.
El `resourcePatchHandler` valida la ruta de destino con las reglas de acceso configuradas antes de limpiar la ruta. Esto permite a un usuario autenticado omitir las reglas de denegación incluyendo secuencias de recorrido de ruta `..` en el parámetro de destino.
Cómo solucionar CVE-2026-32758 en Github.com/filebrowser/filebrowser/v2
Parchear en 24h- 1.Actualice su instalación de File Browser a la versión 2.62.0 o posterior.
go get -u github.com/filebrowser/filebrowser/v2@latestCVE-2026-34530: File Browser Stored XSS a través de la inyección de marca
Medio: XSS almacenado que afecta a todos los usuarios.
La puntuación EPSS de 0,057 indica una baja probabilidad de explotación.
La página de índice SPA en File Browser es vulnerable a Cross-site Scripting (XSS) almacenado a través de campos de marca controlados por el administrador. Un administrador que establece `branding.name` a una carga útil maliciosa inyecta JavaScript persistente que se ejecuta para TODOS los visitantes, incluyendo los usuarios no autenticados.
Cómo solucionar CVE-2026-34530 en Github.com/filebrowser/filebrowser/v2
Parchear ahora- 1.Actualice su instalación de File Browser a la versión 2.62.2 o posterior.
go get -u github.com/filebrowser/filebrowser/v2@latestSolución temporal: Absténgase de utilizar marcas personalizadas o sanee la entrada del nombre de la marca para evitar la inyección de scripts.
Manténgase a la vanguardia de las vulnerabilidades de go
Detecte y corrija de forma proactiva las vulnerabilidades en sus proyectos go. Comience a supervisar sus dependencias de go con NextGuard hoy mismo.
Comparar planesPreguntas frecuentes
Se descubrieron múltiples vulnerabilidades en File Browser. Es crucial actualizar a la última versión para mitigar estos riesgos. ver todas las vulnerabilidades de go.
Temas relacionados