File Browser は、text/template ブランド注入を介した Stored Cross-site Scripting (XSS) の脆弱性があります

この XSS 脆弱性を悪用すると、攻撃者は File Browser の管理権限を持つユーザーになりすまして、機密情報を盗み出す可能性があります。例えば、ユーザーの認証情報、ファイルシステムへのアクセス権、その他の機密データが危険にさらされる可能性があります。さらに、攻撃者は悪意のあるスクリプトを実行して、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、マルウェアをインストールしたり、File Browser インスタンスを完全に制御したりする可能性があります。この脆弱性は、特に File Browser を公共のインターネットに公開している環境において、重大なリスクをもたらします。類似の XSS 脆弱性は、Web アプリケーションにおける一般的な攻撃ベクトルであり、ユーザーの信頼を損ない、データ侵害につながる可能性があります。

File Browser installations where administrators have access to modify branding settings are at risk. This includes shared hosting environments where multiple users may share a single File Browser instance and one administrator could compromise the entire system. Legacy File Browser deployments running older, unpatched versions are particularly vulnerable.

• linux / server: Examine File Browser configuration files for suspicious JavaScript code in the branding.name field. Use grep to search for potentially malicious payloads.

grep -r 'alert(' /path/to/filebrowser/config.yml

• generic web: Monitor File Browser access logs for requests to modify the branding configuration. Look for unusual user agents or IP addresses.

curl -I http://your-filebrowser-instance/branding

• wordpress / composer / npm: (Not applicable, as File Browser is not a WordPress plugin or Node.js package) • database (mysql, redis, mongodb, postgresql): (Not applicable, as File Browser does not directly store branding information in a database) • windows / supply-chain: (Not applicable, as File Browser is not a Windows application)

1. 2026-03-31Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-03-31
3. 更新日2026-04-06
4. EPSS 更新日2026-04-09

この脆弱性への対応策として、まず File Browser をバージョン 2.62.2 への最新バージョンにアップグレードすることを強く推奨します。アップグレードがすぐに実行できない場合は、一時的な緩和策として、branding.name フィールドへの入力の検証を強化し、HTML エンコーディングを適用して、悪意のあるスクリプトの注入を防ぐことができます。Web アプリケーションファイアウォール (WAF) を使用して、XSS 攻撃を検出し、ブロックすることも有効です。また、File Browser のログを監視し、不審なアクティビティがないか確認することも重要です。アップグレード後、ブラウザの開発者ツールを使用して、branding.name フィールドに悪意のあるペイロードを入力し、スクリプトが実行されないことを確認してください。