CVE-2026-90929

File Browser versiyonları >= 2.5.0 ve <= 2.63.23, direct-upload uç noktasında (http/resource.go içindeki resourcePostHandler) hatalı bir yetkilendirme açığı içermektedir. TUS yükleme işleyicisinin aksine, direct-upload işleyicisi mevcut bir dizin olan hedefi reddetmez; bir dizini hedefleyen ?override=true parametreli bir POST isteği writeFile içinde başarısız olur (bir dizin yazma işlemi için açılamaz) ve ardından hata temizleme yolu istek yolu üzerinde Fs.RemoveAll fonksiyonunu çağırarak tüm ağacı özyinelemeli olarak siler. Bu temizleme işlemi ne Perm.Delete izniyle ne de silme ve yama işleyicileri tarafından uygulanan checkDescendants kural yürütmesiyle denetlenmektedir; bu nedenle yalnızca varsayılan Create ve Modify izinlerine sahip kimliği doğrulanmış yönetici olmayan bir kullanıcı, içlerindeki kural ile engellenmiş dosyalar da dahil olmak üzere silmeye yetkili olmadıkları dizinleri silebilir. Silme işlemi, ScopedFs.RemoveAll hala kapsam korumasını uyguladığı için kullanıcının kapsamıyla sınırlı kalır. Hatalı temizleme işlemi v2.5.0 sürümünde eklenmiştir; yamalanmış bir sürüm mevcut değildir.