CVE-2026-72834

2.63.19 sürümü öncesindeki filebrowser, /api/resources uç noktasında bir yetki atlatma açığı içermektedir. resourceGetHandler'ın checksum (?checksum=) dalı, bir özet hesaplamak için dosyanın tamamını okur ve (raw, preview ve subtitle yollarının aksine) Perm.Download kontrolü yapmadan bunu döndürür. Sonuç olarak, Perm.Download=false şeklinde yapılandırılmış kimliği doğrulanmış bir kullanıcı, aynı kapsamdaki herhangi bir dosya için içerik hash oraclına (md5/sha1/sha256/sha512) erişebilir; bu durum bilinen/tahmin edilen içeriğin onaylanmasına, değişiklik tespitine ve düşük entropili dosyaların çevrimdışı kaba kuvvet saldırısına uğramasına olanak tanır. Bu, CVE-2026-35606'nın eksik bir düzeltmesidir; yalnızca Download iznini atlatır ve kapsam/yol yetkilendirmesini geçersiz kılmaz.