概要
ファイルマネージャー「FileBrowser Quantum」の旧バージョンにおいて、パスワードで保護された共有ファイルが、パスワード認証なしでダウンロード可能となる脆弱性（CVE-2026-27611）が報告されました。この問題は、共有の詳細情報に直接ダウンロードリンクが含まれており、共有リンクを知っていれば誰でもパスワードなしでファイルにアクセスできてしまうことに起因します。
影響範囲
この脆弱性の影響を受けるのは、FileBrowser Quantumの以下のバージョンです。
- バージョン 1.1.3-stable より前のバージョン
- バージョン 1.2.6-beta より前のバージョン
修正済みのバージョンは、1.1.3-stable および 1.2.6-beta 以降とされています。
想定される影響
本脆弱性が悪用された場合、本来パスワードによって保護されるべき共有ファイルが、共有リンクを知る第三者によって不正にダウンロードされる可能性があります。これにより、意図しない情報漏洩が発生し、組織の機密情報や個人情報が外部に流出するリスクが考えられます。
攻撃成立条件・悪用状況
攻撃が成立するためには、攻撃者がパスワード保護された共有ファイルのリンクを知っている必要があります。FileBrowser QuantumのAPIが共有の詳細情報に直接ダウンロードリンクを返すため、パスワード認証のプロセスが迂回されてしまいます。現時点では、この脆弱性の具体的な悪用状況については確認されていません。
推奨対策
今すぐできる対策（最優先）
- バージョンアップの実施: 脆弱性が修正されたバージョン 1.1.3-stable または 1.2.6-beta 以降へ、速やかにアップデートしてください。
中長期的な対策
- 共有ファイル運用の見直し: 共有ファイルのアクセス権限や共有範囲を定期的に見直し、必要最小限に限定する運用を徹底してください。
- セキュリティパッチ適用プロセスの確立: 利用している全てのソフトウェアについて、セキュリティパッチやアップデート情報を常に監視し、迅速に適用できる体制を確立してください。
一時的な緩和策
バージョンアップが直ちに困難な場合は、以下の緩和策を検討してください。
- パスワード保護機能を利用した共有ファイルを一時的に非公開にするか、共有リンクを削除してください。
- 共有機能自体の一時的な停止も検討してください。
確認方法
現在ご利用中のFileBrowser Quantumのバージョンを確認し、影響を受けるバージョンに該当しないか確認してください。バージョン情報は、通常、管理画面や設定ファイルなどで確認できます。
参考情報
- CVE-2026-27611 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-27611