CVE-2026-72839: Kritisk fejl i filebrowser
Filebrowser til og med 2.63.16 giver nye brugere fuld adgang til alle filer, hvis selvregistrering er aktiveret. Deaktiver funktionen i dag.
Hvad er det?
Sårbarheden (CVE-2026-72839) findes i filebrowser, et open source webbaseret værktøj til at dele og administrere filer på en server. Fejlen er en forkert tildeling af rettigheder, CWE-266: når funktionen selvregistrering er aktiveret, og indstillingen CreateUserDir står på standardværdien, kan nye brugere selv oprette en konto uden login. Kontoen får automatisk adgang til hele serverens rodmappe med fulde rettigheder til at oprette, ændre, slette, omdøbe, dele og downloade filer.
Hvem rammer det?
Det rammer virksomheder og kommuner, der selv hoster filebrowser i version 2.63.16 eller ældre, og hvor selvregistrering er slået til med standardindstillingen for CreateUserDir. Det gælder typisk interne fildelingsløsninger, hvor man har åbnet for, at nye medarbejdere eller samarbejdspartnere selv kan oprette en konto uden godkendelse fra en administrator.
Hvad kan ske?
En udenforstående kan uden login oprette en konto og derved få adgang til alle filer på serveren, ikke kun sine egne. Det betyder, at følsomme data som personoplysninger, kontrakter eller økonomimateriale kan læses, ændres, slettes eller deles videre af en person, der aldrig skulle have haft adgang.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), og det kan udføres fra netværket med lav teknisk kompleksitet (AC:L). Konsekvensen er fuld påvirkning af fortrolighed, integritet og tilgængelighed (C:H/I:H/A:H), fordi angriberen får samme rettigheder som en administrator. Der er ikke oplyst om aktiv udnyttelse på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden.
- Deaktiver selvregistrering i filebrowser med det samme, så nye konti kun kan oprettes af en administrator.
- Ret indstillingen CreateUserDir, så nye brugere ikke automatisk får adgang til serverens rodmappe, men til en begrænset, dedikeret mappe.
- Gennemgå eksisterende brugerkonti for ukendte eller uventede registreringer, og slet dem, der ikke kan forklares.
- Kontroller adgangslogs for tegn på uautoriseret oprettelse af konti eller usædvanlig filaktivitet.
- Opdater til en nyere version af filebrowser, så snart projektet udgiver en rettelse, og følg deres sikkerhedsmeddelelser.
- Søg hjælp udefra, hvis I ikke selv kan verificere konfigurationen, eller hvis I finder tegn på, at data allerede er tilgået.
Deaktiver selvregistrering i dag
Vi anbefaler at deaktivere selvregistrering og rette CreateUserDir-konfigurationen i dag, da sårbarheden kan udnyttes uden login og uden brugerinteraktion. Det er kun forsvarligt at vente, hvis selvregistrering allerede er slået fra, eller hvis CreateUserDir er sat til en begrænset mappe frem for serverens rodmappe. Er I i tvivl om jeres konfiguration, bør I få den tjekket, før I går videre.
Tidslinje
Konkrete eksempler
Ekstern adgang via selvregistrering i en mindre virksomhed
En mindre dansk virksomhed bruger filebrowser til intern fildeling og har aktiveret selvregistrering for at lette onboarding af nye medarbejdere. En udenforstående finder adressen på fildelingsserveren, opretter selv en konto uden godkendelse og får dermed adgang til hele serverens filsystem, herunder økonomi- og HR-mapper, som personen aldrig skulle have haft adgang til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører filebrowser i version 2.63.16 eller ældre, og selvregistrering er aktiveret med standardindstillingen for CreateUserDir. Tjek jeres konfigurationsfil eller administrationspanel for at se, om selvregistrering er slået til.
Hvordan tjekker vi om selvregistrering er aktiveret?
Log ind som administrator i filebrowser og gå til indstillinger for brugeroprettelse. Er feltet for selvregistrering slået til, og står CreateUserDir på standardværdien, er I sårbare.
Kan vi vente til efter weekenden med at rette det?
Nej, ikke hvis selvregistrering er aktiveret. Fejlen kræver ikke login og kan udnyttes af enhver, der kan nå serveren over netværket. Deaktiver funktionen med det samme, og gennemfør de øvrige tiltag efterfølgende.
Skal vi anmelde en eventuel udnyttelse?
Finder I tegn på, at en uautoriseret konto har haft adgang til personoplysninger, skal I vurdere, om det er en anmeldelsespligtig sikkerhedsbrist efter databeskyttelsesreglerne, og orientere jeres databeskyttelsesansvarlige.
Hvad gør vi, hvis vi finder ukendte brugerkonti?
Slet kontoen, skift alle relevante adgangskoder, og gennemgå logs for at se, hvilke filer kontoen har tilgået, ændret eller downloadet.
Er der en officiel rettelse fra filebrowser-projektet?
Der er ikke oplyst en specifik rettet version i den offentliggjorte information. Følg projektets officielle kanaler, og opdater så snart en ny version med rettelsen udkommer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
filebrowser through 2.63.16 fails to properly restrict scope and permissions when self-signup is enabled with default CreateUserDir setting. Unauthenticated attackers can register accounts that inherit the server root scope with full create, modify, delete, rename, share, and download permissions, allowing unrestricted access to all files.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.