CVE-2026-32759

File Browser; belirtilen bir dizin içindeki dosyaları yüklemek, silmek, önizlemek, yeniden adlandırmak ve düzenlemek için kullanılan bir dosya yönetim arayüzüdür. 2.x dalının 2.33.8 öncesindeki sürümlerinde, TUS devam ettirilebilir yükleme işleyicisi, Upload-Length başlığını değerin negatif olmadığını doğrulamadan imzalı 64 bitlik bir tam sayı olarak ayrıştırır; bu durum, kimliği doğrulanmış bir kullanıcının ilk PATCH isteği sırasında yükleme tamamlanma koşulunu anında karşılayan negatif bir değer sağlamasına olanak tanır. Bu durum, sunucunun boş veya kısmi dosyalarla after_upload exec kancalarını tetiklemesine neden olarak, bir saldırganın yapılandırılmış herhangi bir kancayı rastgele dosya adları ve sıfır bayt yazımıyla tekrar tekrar tetiklemesini sağlar. Etki, maliyetli işlem kancaları aracılığıyla DoS'tan, kötü amaçlı dosya adlarıyla birleştirildiğinde komut enjeksiyonu amplifikasyonuna ve S3 alımı veya veritabanı eklemeleri gibi yükleme odaklı iş akışlarının kötüye kullanılmasına kadar uzanmaktadır. Exec kancaları etkin olmasa bile, negatif Upload-Length, dosyaların tamamlandı olarak işaretlendiği ancak veri içermediği tutarsız önbellek girişleri oluşturur. TUS yükleme uç noktasını (/api/tus) kullanan tüm dağıtımlar etkilenmektedir ve enableExec bayrağı etkiyi önbellek tutarsızlığından uzaktan komut çalıştırılmasına yükseltmektedir. Bu özellik, mevcut kurulumlar da dahil olmak üzere v2.33.8 sürümünden itibaren tüm kurulumlar için varsayılan olarak devre dışı bırakılmıştır. Bu güvenlik açığından yararlanmak için örnek yöneticisinin bir özelliği açması ve bilinen güvenlik açıkları hakkındaki tüm uyarıları görmezden gelmesi gerekir.