CVE-2026-72836

FileBrowser 2.63.19 öncesi sürümlerinde, kendi kendine kayıt sırasında ana dizin sahipliği kontrol edilirken büyük/küçük harfe duyarsız dosya sistemleri dikkate alınmamaktadır. Signup ve CreateUserDir etkinleştirildiğinde ve FileBrowser'ın kök dizini büyük/küçük harfe duyarsız bir dosya sisteminde bulunduğunda (Windows/NTFS üzerinde doğrulanmıştır), yalnızca harf büyüklüğü/küçüklüğü bakımından farklılık gösteren iki kendi kendine kayıtlı kullanıcı adı (ör. CaseVictim ve casevictim) ayrı hesaplar olarak saklanır ancak aynı fiziksel ana dizine çözümlenir; çünkü kapsam sahipliği kontrolü, kalıcı kapsamı büyük/küçük harfe duyarlı tam bir dize olarak karşılaştırmaktadır. Bu nedenle ikinci bir kayıt sahibi, mevcut bir hesaba veya mağdur etkileşimine ihtiyaç duymadan, kimliği doğrulanmış HTTP uç noktaları aracılığıyla başka bir hesabın dosyalarını okuyabilir, üzerine yazabilir ve silebilir.