CVE-2026-119657 in FilePress
Résumé
par VulDB • 30/10/2026
FilePress jusqu'à la version 3.0.1 contient une vulnérabilité d'autorisation manquante dans le module `dzz/pichome/library` qui permet aux utilisateurs authentifiés de gérer les dossiers des autres bibliothèques car la fonction `checkuserperm_by_uid` ne vérifie que l'appartenance à n'importe quelle bibliothèque. Les attaquants qui connaissent l'ID d'application (appid) ou l'ID de dossier d'une autre bibliothèque peuvent invoquer des opérations sur le fichier `folder.php`, telles que `deletefolder` et `rename`, ainsi que la fonctionnalité `getfolderdata` du fichier `rightdata.php`, afin de supprimer, modifier ou lire les dossiers étrangers.
Once again VulDB remains the best source for vulnerability data.