CVE-2026-104105
Beschrijving NL
FileRise is een zelf-gehoste webgebaseerde bestandsbeheerder met upload-, bewerkings- en batchbewerkingen met meerdere bestanden. Voorafgaand aan 3.23.0 verifieert FileRise dat een TOTP-code geldig is voor het geaccepteerde tijdvenster, maar registreert het niet dat hetzelfde account en dezelfde tijdstap al zijn geslaagd. Een aanvaller die de geldige primaire inloggegevens van het doelaccount heeft en een TOTP-code vastlegt na succesvol gebruik, kan die code van een andere in behandeling zijnde aanmeldingssessie opnieuw afspelen voordat het venster sluit. Het probleem onthult op zichzelf niet de primaire inloggegevens of TOTP-code. Dit probleem is opgelost in versie 3.23.0.
Origineel (Engels) tonen
FileRise is a self-hosted web-based file manager with multi-file upload, editing, and batch operations. Prior to 3.23.0, FileRise verifies that a TOTP code is valid for the accepted time window but does not record that the same account and time step already succeeded. An attacker who has the target account's valid primary credential and captures a TOTP code after its successful use can replay that code from another pending-login session before the window closes. The issue does not by itself disclose the primary credential or TOTP code. This issue is fixed in version 3.23.0.