CVE-2026-25890

总结

File Browser 在指定目录内提供文件管理界面，可用于上传、删除、预览、重命名和编辑文件。在 2.57.1 版本之前，经过身份验证的用户可以通过修改请求 URL 来绕过应用程序的“禁止”（Disallow）文件路径规则。通过在路径中添加多个斜杠（例如 `//private/`），授权检查无法匹配该规则，而底层文件系统却能正确解析该路径，从而授予对受限文件的未授权访问权限。此漏洞已在 2.57.1 版本中修复。

• CVE-2026-25890-FileBrowser-Access-Control-Bypass漏洞利用

  CVE-2026-25890 的漏洞利用程序，该漏洞是 FileBrowser <= v2.57.0 中基于路径的授权绕过漏洞，允许已认证的低权限用户通过多个前导斜杠读取、上传和删除受限文件。