CVE-2026-90929

File Browser versiyaları >= 2.5.0 və <= 2.63.23 birbaşa yükləmə nöqtəsində (http/resource.go faylında resourcePostHandler) yanlış avtorizasiya boşluğu ehtiva edir. TUS yükləmə idarəedicisindən fərqli olaraq, birbaşa yükləmə idarəedicisi mövcud kataloq olan hədəfi rədd etmir; kataloqa yönəlmiş ?override=true parametrli POST sorğusu writeFile daxilində uğursuz olur (kataloq yazma üçün açıla bilməz) və uğursuzluğun təmizlənməsi yolu daha sonra sorğu yolunda Fs.RemoveAll funksiyasını çağıraraq bütün ağacı rekursiv şəkildə silir. Bu təmizləmə prosesi nə Perm.Delete icazəsi ilə, nə də silmə və yamaqlama idarəediciləri tərəfindən tətbiq edilən checkDescendants qaydası gəzişi ilə məhdudlaşdırılmayıb, buna görə də yalnız standart Create və Modify icazələrinə malik autentifikasiya olunmuş qeyri-administrator, silməyə səlahiyyəti olmayan kataloqları və onların daxilindəki qayda ilə qadağan edilmiş faylları silə bilər. Silinmə istifadəçinin əhatə dairəsi ilə məhdud qalır, çünki ScopedFs.RemoveAll hələ də əhatə mühafizəsini tətbiq edir. Səhv təmizləmə v2.5.0 versiyasında tətbiq edilmişdir; heç bir düzəliş edilmiş versiya mövcud deyil.