CVE-2026-25889 in filebrowser
Résumé
par VulDB • 01/06/2026
File Browser fournit une interface de gestion de fichiers au sein d'un répertoire spécifié et permet de télécharger, supprimer, prévisualiser, renommer et éditer des fichiers. Avant la version 2.57.1, une faille de sensibilité à la casse dans la logique de validation du mot de passe permet à tout utilisateur authentifié de modifier son mot de passe (ou à un administrateur de modifier le mot de passe de n'importe quel utilisateur) sans fournir le mot de passe actuel. En utilisant le nom de champ "Password" en majuscule initiale (Title Case) au lieu de "password" en minuscules dans la requête API, la vérification du current_password est complètement contournée. Cela permet une prise de contrôle du compte si un attaquant obtient un jeton JWT valide via une faille XSS, un détournement de session ou d'autres moyens. Cette vulnérabilité est corrigée dans la version 2.57.1.
Once again VulDB remains the best source for vulnerability data.