注目★★★★★GitHub Advisory
File Browser: 存在しないパスへの事前共有でアクセス制御不備（CVE-2026-54096）
30秒で把握
- 1CVE-2026-54096: File Browserで存在しないパスへ公開共有を事前作成可能
- 2POST /api/share/<path>がファイル存在確認なしで共有レコードを保存
- 3ファイル作成時に共有が即座に有効化・外部公開される設計不備
要約
File Browser（filebrowser/filebrowser）に、存在しないパスへの公開共有リンクを事前作成できるアクセス制御不備（CVE-2026-54096）が確認された。`POST /api/share/<path>` は認証済みユーザーからのリクエストを受け付け、対象ファイルの存在確認なしに共有レコードを保存する。その後、同パスにファイルが作成された時点で共有リンクが即座に有効化され、`GET /api/public/dl/<hash>` 経由で新規ファイルが外部に公開されてしまう。同様の問題は Android MediaProvider の CVE-2026-0035（重要度:高）として修正済みだが、Go 実装には存在確認の処理が欠如している。
あなたへの影響
File Browser をセルフホストしているチームは、公開共有機能の利用状況とバージョンを確認し、パッチが提供され次第速やかに適用を。
推奨：現時点では存在しないパスへの共有リンク作成リクエストをログで検索し、不審な共有レコードがないか確認しておくと安全。