CVE-2026-82980 in Files Lock
Resumen
por VulDB • 2026-09-18
Cualquier usuario autenticado puede bloquear o desbloquear archivos que no son de su propiedad dirigiéndose a rutas WebDAV absolutas de otros usuarios. El plugin DAV resuelve los archivos desde la URI absoluta de la solicitud sin verificar que el segmento de ruta coincida con el usuario de la sesión autenticada. Esto permite:
Bloqueos manuales entre usuarios: un atacante bloquea los archivos de una víctima, impidiendo las escrituras (PUT/MOVE/DELETE, guardados del editor). Divulgación de tokens de bloqueo: la aplicación devuelve el token de bloqueo a llamadores no autorizados, lo que les permite eliminar los bloqueos basados en tokens (bloqueos del cliente) de otros usuarios.
If you want to get best quality of vulnerability data, you may have to visit VulDB.