Hacdias

**Nome do Software Vulnerável e Versões Afetadas** FileBrowser versões anteriores a 2.63.19 **Descrição** Um problema ocorre quando o software é hospedado em um sistema de arquivos insensível a maiúsculas e minúsculas, como Windows/NTFS, e as opções Signup e CreateUserDir estão habilitadas. O sistema não considera a insensibilidade a maiúsculas e minúsculas durante as verificações de propriedade do diretório home no auto-registro. Consequentemente, dois usuários que se registram com nomes que diferem apenas em maiúsculas e minúsculas (ex: `CaseVictim` e `casevictim`) são tratados como contas distintas, mas são mapeados para o mesmo diretório home físico. Isso acontece porque a verificação de propriedade de escopo realiza uma comparação de string exata e sensível a maiúsculas e minúsculas. Um invasor pode registrar um nome de usuário semelhante para ler, sobrescrever ou excluir arquivos de outra conta por meio de endpoints HTTP autenticados, sem a necessidade de interação da vítima. **Recomendações** Atualize para a versão 2.63.19 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** filebrowser versões anteriores a 2.63.19 **Descrição** Existe uma falha de bypass de permissão no endpoint '/api/resources'. A função `resourceGetHandler` não realiza a verificação `Perm.Download` ao processar o parâmetro `checksum`. Isso permite que um usuário autenticado, com a permissão de download desativada, obtenha um oráculo de hash de conteúdo (suportando md5, sha1, sha256 e sha512) para qualquer arquivo dentro de seu escopo. Essa falha pode ser utilizada para confirmar conteúdos previstos, detectar alterações em arquivos ou realizar ataques de força bruta offline em arquivos de baixa entropia. **Recomendações** Atualize para a versão 2.63.19 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/api/resources' para usuários que não devem ter permissões de download.

**Nome do Software Vulnerável e Versões Afetadas** filebrowser versões anteriores a 2.63.21 **Descrição** Usuários autenticados podem ignorar regras de negação definidas pelo administrador porque o software falha ao canonicalizar caminhos antes de avaliar as regras de acesso. A canonicalização de caminho é o processo de converter um caminho de arquivo em uma representação padrão e única. Ao usar caminhos com variações de maiúsculas/minúsculas ou separados por barras invertidas, invasores podem solicitar arquivos com representações alternativas que não correspondem a nenhuma regra de negação, mas que resolvem para o mesmo objeto do sistema de arquivos, resultando em acesso não autorizado a arquivos restritos dentro de seu escopo. **Recomendações** Atualize para a versão 2.63.21 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** FileBrowser versões anteriores a 2.63.19 **Description** Usuários autenticados podem gravar dados arbitrários no disco porque o software falha ao aplicar o `Upload-Length` declarado no endpoint PATCH de upload retomável TUS. Isso permite que atacantes enviem corpos de requisição superdimensionados que excedem o comprimento de upload declarado, potencialmente esgotando o espaço em disco disponível e causando a indisponibilidade do serviço. **Recommendations** Atualize para a versão 2.63.19 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões anteriores a 2.63.20 **Description** Existe um problema onde o software falha em respeitar o isolamento `createUserDir` nos caminhos de auto-provisionamento de autenticação de proxy e hook. Isso permite que atacantes com credenciais autenticadas no upstream explorem a atribuição de escopo da raiz do servidor para ler, modificar, excluir e compartilhar arquivos pertencentes a outros usuários. **Recommendations** Atualize para a versão 2.63.20 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** filebrowser versões anteriores a 2.63.19 **Descrição** Existe um problema no mecanismo de expulsão de cache de upload TUS que permite que usuários autenticados com apenas permissão de Create excluam arquivos arbitrários fora de seu escopo atribuído. Um invasor pode substituir um diretório ancestral por um link simbólico durante a janela de TTL (Time To Live) do cache para redirecionar a chamada da função `os.Remove()` para um alvo fora do escopo pretendido, ignorando as proteções de escopo do ScopedFs e as verificações de `Perm.Delete`. **Recomendações** Atualize para a versão 2.63.19 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões 2.50.0 through 2.63.21 **Description** Existe um problema onde o software falha ao validar a expiração de JSON Web Tokens (JWT)—um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes—quando a autenticação por proxy é configurada com uma página de logout não padrão. Isso permite que atacantes com um token anteriormente válido acessem rotas protegidas e endpoints administrativos indefinidamente, além de trocarem tokens expirados por novos através do endpoint de renovação. **Recommendations** Atualize o File Browser para uma versão posterior à 2.63.21.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões anteriores a 2.63.22 **Descrição** Usuários autenticados podem ignorar controles de acesso baseados em caminho durante operações recursivas de cópia, renomeação e exclusão. O sistema falha ao validar as regras de acesso para descendentes, permitindo que um invasor manipule arquivos negados ao realizar essas operações em um diretório pai permitido, o que compromete o isolamento baseado em regras para confidencialidade e integridade. **Recomendações** Atualize para a versão 2.63.22 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** filebrowser versões anteriores a 2.63.17 **Description** Usuários autenticados podem deixar compartilhamentos públicos obsoletos porque o software falha ao normalizar caminhos antes de consultar o índice de compartilhamento na função `DeleteWithPathPrefix()`. Um invasor pode excluir um diretório compartilhado usando um caminho com barra final e, posteriormente, recriar o diretório para expor novos conteúdos por meio da URL de compartilhamento público inativa. **Recommendations** Atualize para a versão 2.63.17 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões anteriores a 2.63.6 **Description** Existe um problema onde o software não normaliza adequadamente os caminhos de arquivos ao criar arquivos zip ou tar em hosts Linux. Especificamente, a função `getFiles()` utiliza `filepath.ToSlash`, que não converte barras invertidas no Linux. Isso permite que um usuário autenticado com permissões de criação faça o upload de arquivos contendo sequências de travessia no estilo Windows (ex: `....`) no nome do arquivo. Esses nomes são armazenados literalmente no sistema de arquivos Linux e, posteriormente, incluídos verbatim no arquivo compactado gerado. Quando uma vítima baixa e extrai tal arquivo usando extratores baseados em Windows (como Windows Explorer, 7-Zip ou WinRAR), as barras invertidas são interpretadas como separadores de caminho. Isso leva a uma gravação arbitrária de arquivos, permitindo que arquivos sejam gravados fora do diretório de extração pretendido na máquina da vítima. **Recommendations** Atualize para a versão 2.63.6. Como mitigação temporária, restrinja a permissão de Criação para usuários não confiáveis para evitar o upload de arquivos com nomes maliciosos.

**Name of the Vulnerable Software and Affected Versions** go-ipld-prime versions prior to 0.19.0 **Description** The issue arises when encoding data that contains a `Bytes` kind Node using the `json` codec, causing the encoder to panic as it does not expect to receive `Bytes` tokens. This should be treated as an error since plain JSON cannot encode bytes. The `dag-json` codec is not impacted, and neither is the use of `json` as a decoder. If the `json` codec is used to encode user-supplied data, it may be used as a vector for a denial of service attack. **Recommendations** For versions prior to 0.19.0, update to version 0.19.0 to resolve the issue. As a temporary workaround, consider using the `dag-json` codec, which has the ability to encode bytes, instead of the `json` codec for encoding data that contains `Bytes` kind Nodes.