CVE-2026-90929

Wersje przeglądarki plików >= 2.5.0 i <= 2.63.23 zawierają niepoprawną lukę autoryzacyjną w punkcie końcowym bezpośredniego przesyłania (resourcePostHandler w http/resource.go). W przeciwieństwie do procedury obsługi przesyłania TUS, procedura obsługi bezpośredniego przesyłania nie odrzuca celu, który jest istniejącym katalogiem; POST z ?override=true skierowany do katalogu kończy się niepowodzeniem w writeFile (nie można otworzyć katalogu do zapisu), a ścieżka czyszczenia awarii wywołuje następnie Fs.RemoveAll na ścieżce żądania, rekursywnie usuwając całe drzewo. To czyszczenie nie jest bramkowane ani przez uprawnienie Perm.Delete, ani przez sprawdzanie reguł checkDescendants stosowane przez procedury obsługi usuwania i łatania, więc uwierzytelniony użytkownik niebędący administratorem posiadający tylko domyślne uprawnienia do tworzenia i modyfikowania może usuwać katalogi, do których nie jest upoważniony, łącznie z znajdującymi się w nich plikami, którym odmówiono stosowania reguł. Usuwanie pozostaje ograniczone do zakresu użytkownika, ponieważ ScopedFs.RemoveAll nadal wymusza ochronę zakresu. Błędne czyszczenie zostało wprowadzone w wersji 2.5.0; nie jest dostępna żadna poprawiona wersja.