फ़ाइल ब्राउज़र TUS नकारात्मक अपलोड-लंबाई पोस्ट-अपलोड हुक को जल्दी चलाता है

filebrowser में CVE-2026-32759 एक प्रमाणित उपयोगकर्ता को अपलोड अनुमतियों के साथ अप्रत्याशित afterupload हुक को ट्रिगर करने की अनुमति देता है। TUS (Resumable Upload) हैंडलर Upload-Length हेडर को हस्ताक्षरित 64-बिट पूर्णांक के रूप में पार्स करता है, लेकिन यह सत्यापित नहीं करता है कि मान गैर-ऋणात्मक है। जब एक नकारात्मक मान प्रदान किया जाता है (जैसे -1), तो पहली PATCH अनुरोध तुरंत समापन शर्त (newOffset >= uploadLength → 0 >= -1) को पूरा करता है, जिससे सर्वर आंशिक या खाली फ़ाइल के साथ afterupload exec हुक को ट्रिगर करता है। यदि after_upload हुक को सिस्टम कमांड या स्क्रिप्ट निष्पादित करने के लिए कॉन्फ़िगर किया गया है, तो यह मनमाना कोड निष्पादन की ओर ले जा सकता है। इस भेद्यता की गंभीरता कॉन्फ़िगर किए गए हुक और उन हुक को निष्पादित करने वाले उपयोगकर्ता की अनुमतियों पर निर्भर करती है। वर्तमान में उपलब्ध किसी समाधान की कमी सावधानी बरतने और एक संपूर्ण जोखिम मूल्यांकन की आवश्यकता होती है।

Organizations using filebrowser/filebrowser/v2 for file management, particularly those with publicly accessible upload endpoints or those who have configured custom after_upload hooks. Shared hosting environments where multiple users share the same filebrowser instance are also at increased risk.

• linux / server:

journalctl -u filebrowser -g 'after_upload' | grep -i 'error' 

• generic web:

curl -I 'http://your-filebrowser-url/upload' -H 'Upload-Length: -1' | grep '200 OK'

1. 2026-03-16Disclosure

   disclosure

1. आरक्षित2026-03-13
2. प्रकाशित2026-03-16
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-03-27

चूंकि filebrowser में CVE-2026-32759 के लिए कोई समाधान उपलब्ध नहीं है, इसलिए प्राथमिक शमन TUS अपलोड कार्यक्षमता या afterupload हुक को अस्थायी रूप से अक्षम करना है जब तक कि एक अपडेट जारी नहीं किया जाता है। भविष्य के सुरक्षा अपडेट के लिए filebrowser रिपॉजिटरी की निगरानी करने की जोरदार सिफारिश की जाती है। इसके अतिरिक्त, संभावित रूप से खतरनाक कोड को निष्पादित नहीं करने के लिए afterupload हुक के कॉन्फ़िगरेशन की जांच करें। वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू करने से शोषण प्रयासों का पता लगाने और उन्हें ब्लॉक करने में मदद मिल सकती है, हालांकि यह एक पूर्ण समाधान नहीं है। पैच जारी होने के बाद filebrowser के नवीनतम स्थिर संस्करण में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है।