CVE-2026-90928: исчерпание памяти в File Browser через эндпоинт конвертации субтитров
В File Browser до версии 2.63.23 включительно обнаружена уязвимость исчерпания памяти в эндпоинте конвертации субтитров. Аутентифицированный пользователь с правом на скачивание может вызвать отказ в обслуживании, отправляя параллельные запросы на обработку больших файлов .srt, .ass или .ssa. Уровень опасности — высокий (CVSS 7.1).
Подробности
Уязвимость CVE-2026-90928 затрагивает File Browser во всех версиях вплоть до 2.63.23 включительно. Причина — эндпоинт конвертации субтитров загружает содержимое файлов целиком в память без каких-либо ограничений на размер. Это означает, что при обработке крупного файла субтитров в формате .srt, .ass или .ssa приложение резервирует объём памяти, пропорциональный размеру файла. Для эксплуатации атакующему необходимо пройти аутентификацию и обладать правом на скачивание файлов. Этого достаточно, чтобы инициировать конвертацию большого файла субтитров. Отправив несколько таких запросов одновременно, злоумышленник провоцирует многократную параллельную загрузку данных в память, что приводит к её быстрому исчерпанию и отказу в обслуживании (DoS) для всех пользователей сервиса. Уязвимости присвоен рейтинг CVSS 7.1 (HIGH). Несмотря на требование аутентификации, высокий балл обусловлен низкой сложностью эксплуатации и серьёзным влиянием на доступность сервиса: для атаки не нужны специальные знания, достаточно стандартных учётных данных с правом скачивания.Что делать
Основная рекомендация — обновить File Browser до версии, в которой уязвимость устранена. Если информация о конкретной исправленной версии отсутствует, следует проверить наличие новых релизов в официальном репозитории проекта и установить актуальную сборку. Если обновление невозможно в короткие сроки, применяются компенсирующие меры: - ограничить круг пользователей, имеющих право скачивания и доступа к функции конвертации субтитров; - настроить лимиты ресурсов для процесса File Browser (например, через cgroup в Linux) для ограничения потребляемой памяти; - использовать reverse proxy для ограничения частоты запросов (rate limiting) к эндпоинту конвертации; - обеспечить мониторинг потребления памяти и аномальной активности, чтобы оперативно реагировать на попытки эксплуатации. Также рекомендуется проверить журналы на предмет подозрительных массовых запросов к эндпоинту конвертации субтитров, которые могут свидетельствовать о попытке атаки. Итог: CVE-2026-90928 — серьёзная уязвимость отказа в обслуживании, эксплуатация которой не требует высоких привилегий. Организациям, использующим File Browser, следует как можно скорее обновиться до исправленной версии или применить митигации, ограничивающие доступ и потребление ресурсов.Источник: CVE Project (cvelistV5)