CVE-2026-54089: File Browser: bypass de autenticação no modo de autenticação por proxy

Visão geral

O File Browser é um gerenciador de arquivos baseado na web. O registro descreve uma fragilidade de autenticação no modo de autenticação por proxy (auth.method=proxy), a partir da versão 2.0.0-rc.1, que pode ser explorada sem credenciais quando o servidor é acessível diretamente. O aviso de segurança do GitHub do projeto é a fonte principal, e o registro também aponta para o código-fonte da autenticação por proxy.

Impacto

Uma parte não autenticada com acesso direto ao servidor pode agir como qualquer usuário, inclusive administradores.
Informar um nome de usuário inexistente pode levar à criação automática de uma conta, sem autorização.
O fornecedor do aviso atribui pontuação base CVSS 3.1 de 9,1, refletindo alcance pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto em confidencialidade e integridade.

Produtos e versões afetadas

Produto: File Browser (filebrowser/filebrowser).
O registro indica que a condição se aplica a partir da versão 2.0.0-rc.1 quando a autenticação por proxy está configurada.
O registro não informa um limite superior para as versões afetadas e não lista versões corrigidas.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada no ambiente real nas fontes consultadas.
Não há pontuação EPSS disponível no registro.

Correção e mitigação

Identifique se há instâncias do File Browser usando autenticação por proxy e se o servidor pode ser acessado sem passar pelo gateway de autenticação confiável.
Restrinja o acesso de rede para que apenas o gateway confiável alcance o serviço.
Consulte o aviso original para orientações de correção ou configuração, já que o registro não identifica uma versão corrigida.
Quando a autenticação por proxy não for necessária, avalie migrar para outro método suportado pelo projeto.

Orientações de detecção

Revise a lista de contas e procure contas que os administradores não criaram, especialmente as recentes.
Analise os logs do servidor web e da aplicação em busca de requisições que cheguem ao serviço sem passar pelo gateway esperado.
Confirme que o gateway confiável remove ou sobrescreve cabeçalhos de identidade enviados pelos clientes.

Limitações das informações disponíveis

O registro não especifica o limite superior vulnerável nem qualquer versão corrigida.
Detalhes técnicos além do resumo do registro não são incluídos aqui.
A exploração além do status KEV e da ausência de dados EPSS é desconhecida.
O status de origem do registro é Deferred, por isso as informações podem mudar.

Perguntas frequentes

Quais versões do File Browser são afetadas?

O registro indica que o problema começa na versão 2.0.0-rc.1 quando a autenticação por proxy está configurada. Não há limite superior informado, então versões posteriores devem ser verificadas no aviso original.

A exploração exige credenciais?

Segundo o registro, não são necessárias credenciais quando o atacante consegue acessar o servidor diretamente.

Existe uma versão corrigida?

O registro não lista nenhuma versão corrigida. A ausência desses dados não significa que não exista correção, por isso o aviso original deve ser consultado.

Há exploração conhecida no ambiente real?

O registro indica que a CVE não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Qual é a medida defensiva mais importante?

Limitar o acesso de rede para que apenas um gateway de autenticação confiável alcance o serviço, além de revisar contas de usuário em busca de entradas inesperadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.