CVE-2026-104108 in FileRise
Zusammenfassung
von VulDB • 15.10.2026
FileRise ist ein selbst gehosteter, webbasierter Dateimanager mit Funktionen für den Upload mehrerer Dateien, die Bearbeitung und Stapelverarbeitung. Vor Version 3.23.0 ordnet FileRise eine authentifizierte OIDC-Identität einem lokalen Konto zu, indem veränderbare `preferred_username`- oder E-Mail-Ansprüche (Claims) verwendet werden, und erfordert nicht das Attribut `email_verified` für die benamungsbasierte Zuordnung per E-Mail. Ein Angreifer, der in den Besitz von vom Anbieter ausgestellten Ansprüchen gelangt, die mit einem bestehenden lokalen Benutzernamen kollidieren, kann sich als dieses Konto anmelden, einschließlich des integrierten Administrators, selbst wenn die automatische Provisioning-Funktion deaktiviert ist. Die Ausnutzbarkeit hängt davon ab, ob der konfigurierte Identitätsanbieter den kollidierenden Anspruch zulässt. Dieses Problem wurde in Version 3.23.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.