注目★★★★★GitHub Advisory
File Browser: 低権限ユーザが他ユーザの共有リンクを削除できる脆弱性 CVE-2026-54097
30秒で把握
- 1CVE-2026-54097：File Browserで低権限ユーザが他ユーザの共有リンクを削除可能
- 2原因はDeleteWithPathPrefixのユーザID未検証・Boltバックエンドの無制限プレフィックス一致
- 3ファイル内容の漏洩はなし・共有リンクは不可逆消去・管理者も被害対象
要約
File BrowserにCVE-2026-54097が公開された。create・delete権限を持つ低権限ユーザが、自身のディレクトリ内ファイルを削除する際に、論理パスがプレフィックス一致する他ユーザの共有リンクを意図せず削除できる。原因は`DeleteWithPathPrefix`がユーザIDを検証せず全ユーザの共有レコードを対象にする実装にある。被害者のファイル内容は漏洩しないが、管理者を含む任意ユーザの共有リンクが不可逆的に消去される。
あなたへの影響
File Browserを社内で運用しているチームは、低権限ユーザによる意図しない共有リンク消去が起き得るため、バージョンアップまたはパッチ適用の有無を確認し、影響するバージョンを使用中であれば対処方針を今週中に判断することを推奨。
推奨：緊急性は高くないが、共有リンクを業務フローに組み込んでいる場合は優先度を上げて対応すること。