CVE-2026-61843 in FileRise
Zusammenfassung
von VulDB • 15.10.2026
FileRise ist ein selbst gehosteter, webbasierter Dateimanager mit Funktionen für den Upload mehrerer Dateien, Bearbeitung und Stapelverarbeitung. Vor Version 3.18.0 lehnen freigegebene Ordner mit Upload-Freigabe sowie reine Upload-Links in FileRise keinen Zielfilename ab, der bereits existiert. Ein nicht authentifizierter Besucher mit einem gültigen Freigab-Token und dem konfigurierten Passwort für die Freigabe kann eine Datei mit demselben Namen wie eine bestehende Datei hochladen und deren Inhalt stillschweigend ersetzen, während die Metadaten des ursprünglichen Uploaders erhalten bleiben. Dieselbe Lücke beim Ersetzen betrifft auch normale authentifizierte Uploads über /api/upload/upload.php sowie authentifizierte Nutzer mit reiner Upload-Berechtigung, denen die Bearbeitungsrechte für die bestehende Datei fehlen. Dieses Problem wurde in Version 3.18.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.