CVE-2026-32759

File Browser müəyyən edilmiş kataloq daxilində faylların yüklənməsi, silinməsi, önizlənməsi, adlandırılması və redaktə edilməsi üçün fayl idarəetmə interfeysidir. 2.x budağının 2.33.8 versiyasından əvvəlki versiyalarında, TUS bərpa oluna bilən yükləmə handler-i Upload-Length başlığını dəyərin mənfi olmadığını yoxlamadan imzalı 64-bitlik tam ədəd kimi analiz edir. Bu, autentifikasiya olunmuş istifadəçiyə ilk PATCH sorğusu zamanı yükləmənin tamamlanma şərtini dərhal yerinə yetirən mənfi dəyər təqdim etməyə imkan verir. Nəticədə server boş və ya qismən doldurulmuş fayllarla after_upload exec hook-larını işə salır ki, bu da hücumçuya hər hansı konfiqurasiya edilmiş hook-u ixtiyari fayl adları və sıfır bayt yazılmış halda təkrarən tetikləməyə imkan verir. Təsir, bahalı emal hook-ları vasitəsilə DoS-dan, zərərli fayl adları ilə birləşdirildikdə komanda inyeksiyasının gücləndirilməsinə, S3 ingestion və ya verilənlər bazasına daxiletmə kimi yükləmə əsaslı iş axınlarının sui-istifadəsinə qədər dəyişir. Hətta exec hook-ları aktiv edilmədiyi halda belə, mənfi Upload-Length faylların tamamlandığı qeyd edildiyi lakin heç bir məlumat ehtiva etmədiyi ziddiyyətli keş yazılarına səbəb olur. TUS yükləmə son nöqtəsindən (/api/tus) istifadə edən bütün tətbiqlər təsirlənir, enableExec bayrağı isə təsiri keş ziddiyyətindən uzaqdan komandanın icrasına qədər artırır. Bu funksiya v2.33.8 versiyasından başlayaraq mövcud quraşdırmalar da daxil olmaqla bütün quraşdırmalar üçün standart olaraq deaktiv edilmişdir. Bu zəiflikdən istifadə etmək üçün instansiya administratoru müvafiq funksiyanı aktivləşdirməli və məlum zəifliklər barədə bütün xəbərdarlıqları görməzdən gəlməlidir.