ファイルブラウザのサインアップ機能は、デフォルトの権限に実行権限が含まれている場合に実行権限を付与する

この脆弱性は、攻撃者が認証なしでサーバー上で任意のコマンドを実行できる重大なリスクをもたらします。攻撃者は、Webサーバーのファイルシステムへのアクセス、機密データの窃取、さらにはサーバー全体の制御奪取を試みる可能性があります。特に、デフォルトユーザーテンプレートでExecute=trueが設定されている環境では、攻撃が容易に行われるため、注意が必要です。類似の脆弱性は、設定ミスによって権限昇格を許してしまうケースでしばしば見られます。

1. 予約済み2026-03-30
2. 公開日2026-03-31
3. 更新日2026-04-06
4. EPSS 更新日2026-04-09

まず、filebrowser/v2をバージョン2.62.2にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、デフォルトユーザーテンプレートでExecuteをfalseに設定することで、攻撃の影響を軽減できます。Webアプリケーションファイアウォール(WAF)やリバースプロキシを設定し、不審なコマンド実行リクエストをブロックすることも有効です。また、File Browserのログを監視し、異常なアクティビティを早期に検出することも重要です。アップデート後、Execute権限が適切に無効化されていることを確認してください。