CVE-2026-94619 Falta de autorización en POST /upload de FileGator permite leer y borrar archivos temporales de otros usuarios
El controlador usa resumableFilename como clave sin espacio de nombres en el almacenamiento temporal compartido. Un usuario con permiso de carga puede fijar resumableTotalChunks y resumableTotalSize en cero para que el ensamblado no escriba datos y luego leer un archivo temporal preexistente con ese nombre, guardarlo en su home y eliminarlo. También puede agregar datos cuando se envían fragmentos, permitiendo divulgar, modificar o borrar objetos transitorios de otro usuario. Corregido en la versión 7.15.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 6
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
filegator
< 7.15.0
Qué hacer
- Verificá si usás filegator y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:L
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadBaja
- DisponibilidadBaja
Descripción original
FileGator is a multi-user file manager. Prior to 7.15.0, POST /upload in backend/Controllers/UploadController.php uses the request-supplied resumableFilename as an unnamespaced key in shared temporary storage. In a multi-user deployment configured with distinct per-user home directories, a low-privileged user with upload permission can set resumableTotalChunks and resumableTotalSize to zero so the assembly loop writes no data, after which the handler reads a pre-existing temporary file with that name, stores it in the attacker's home directory, and removes it. The same filename path can append data when chunks are supplied, allowing disclosure, modification, or deletion of another user's transient object, including a pending archive or the login rate-limit lockfile, while Tmpfs path sanitization limits the primitive to the temporary directory. This issue is fixed in version 7.15.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.