filebrowser до 2.63.16 не может должным образом ограничить область действия и разрешения, когда самостоятельная регистрация включена с настройкой CreateUserDir по умолчанию. Злоумышленники, не прошедшие проверку подлинности, могут регистрировать учетные записи, которые наследуют корневую область сервера с полными разрешениями на создание, изменение, удаление, переименование, совместное использование и загрузку, обеспечивая неограниченный доступ ко всем файлам.
Показать оригинальное описание (EN)
filebrowser through 2.63.16 fails to properly restrict scope and permissions when self-signup is enabled with default CreateUserDir setting. Unauthenticated attackers can register accounts that inherit the server root scope with full create, modify, delete, rename, share, and download permissions, allowing unrestricted access to all files.
Характеристики атаки
Последствия
Строка CVSS v4.0