文件浏览器 TUS 负数上传长度导致上传后钩子过早触发

该漏洞允许经过身份验证的攻击者，拥有上传权限，通过构造恶意的 Upload-Length 头信息，触发 after_upload 执行钩子。由于钩子可以执行任意代码，攻击者可以利用此漏洞在服务器上执行任意命令，从而获得对系统的完全控制权。攻击者可以上传恶意文件，利用钩子执行恶意脚本，窃取敏感数据，甚至完全控制服务器。该漏洞的潜在影响非常严重，可能导致数据泄露、系统被破坏和业务中断。

Organizations using filebrowser/filebrowser/v2 for file management, particularly those with publicly accessible upload endpoints or those who have configured custom after_upload hooks. Shared hosting environments where multiple users share the same filebrowser instance are also at increased risk.

• linux / server:

journalctl -u filebrowser -g 'after_upload' | grep -i 'error' 

• generic web:

curl -I 'http://your-filebrowser-url/upload' -H 'Upload-Length: -1' | grep '200 OK'

1. 2026-03-16Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-03-16
3. 修改日期2026-03-30
4. EPSS 更新日期2026-03-27

为了缓解 CVE-2026-32759 的风险，建议立即升级到修复版本。如果无法立即升级，可以考虑以下缓解措施：禁用或限制 afterupload 钩子的执行，确保钩子只执行受信任的代码。此外，可以实施严格的输入验证，过滤掉任何负数的 Upload-Length 头信息。使用 Web 应用防火墙 (WAF) 规则来检测和阻止恶意的上传请求。升级后，请确认 afterupload 钩子功能正常，并检查系统日志是否存在异常活动。