CVE-2026-61844 in FileRise
Zusammenfassung
von VulDB • 14.10.2026
FileRise ist ein selbst gehosteter, webbasierter Dateimanager mit Funktionen für den Upload mehrerer Dateien, die Bearbeitung und Stapelverarbeitung. Vor Version 3.18.0 werden logische Ordnerpfade in FileRise durch Ersetzen von Trennzeichen und Leerzeichen durch Bindestriche in Metadaten-Filenames „geflacht“, sodass verschiedene Ordner wie `team/docs` und `team-docs` dieselbe Metadatendatei teilen können. Da die vom Uploader bereitgestellten Metadaten zur Autorisierung von Lesezugriffen (`read_own`) und eigentumsbeschränkten Bearbeitungen verwendet werden, kann ein Benutzer mit niedrigen Berechtigungen, der einen kollidierenden Ordner kontrolliert, den Ziel-Basisnamen kennt und bereits über `read_own`-Zugriff auf den Zielordner verfügt, die von diesem Ordner verwendeten Metadaten ändern. Dadurch erscheint eine Datei des Opfers als vom Angreifer besessen; sie kann gelesen werden, und bei verfügbarer Berechtigung zur Bearbeitung eigener Dateien (`edit-own`) auch modifiziert werden. Dieses Problem wurde in Version 3.18.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.