https://alertas.dupin.com.ar/fabricante/filegator/Alertas de vulnerabilidades de filegator.esFri, 06 Nov 2026 22:44:05 +000010https://alertas.dupin.com.ar/cve/CVE-2026-94618/tg:63806Fri, 06 Nov 2026 22:44:05 +0000VulnerabilidadbatchDownloadStart() transmite un archivo temporal compartido seleccionado por el uniqid enviado en la solicitud sin verificar que la sesión actual lo haya creado. En implementaciones con directorios home por usuario, un usuario válido con permisos de lectura, descarga y batchdownload que obtenga el id de un archivo activo de otro usuario puede recuperar su archivo por lotes, y la repetición exitosa también elimina el archivo pendiente de la víctima. Corregido en la versión 7.15.0.https://alertas.dupin.com.ar/cve/CVE-2026-94619/tg:63805Fri, 06 Nov 2026 22:44:04 +0000VulnerabilidadEl controlador usa resumableFilename como clave sin espacio de nombres en el almacenamiento temporal compartido. Un usuario con permiso de carga puede fijar resumableTotalChunks y resumableTotalSize en cero para que el ensamblado no escriba datos y luego leer un archivo temporal preexistente con ese nombre, guardarlo en su home y eliminarlo. También puede agregar datos cuando se envían fragmentos, permitiendo divulgar, modificar o borrar objetos transitorios de otro usuario. Corregido en la versión 7.15.0.